CVE-2026-69252 in Flowise
要約
〜によって VulDB • 2026年08月04日
Flowiseは、カスタマイズされた大規模言語モデル（LLM）フローを構築するためのドラッグ＆ドロップ型ユーザーインターフェースです。バージョン3.1.3より前では、/api/v1/filesエンドポイントはfeat:filesという機能フラグによってのみ保護されており、GETやDELETEリクエストに対してcheckPermissionが適用されていませんでした。その結果、関連する権限を持たない低レベルの認証済みAPIキーを使用して、GET /api/v1/filesを呼び出すことで組織ストレージのルート配下のファイルをリストアップしたり、DELETE /api/v1/files?path=...を実行して同じ組織内の他のワークスペースに属するファイルを削除することが可能でした。これは、getAllFilesおよびdeleteFile関数がactiveOrganizationIdとユーザーが制御可能なパスを使用しており、権限やactiveWorkspaceIdによるアクセス制限を行っていなかったためです。この問題はバージョン3.1.3で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.