CVE-2026-69257 in Flowise
要約
〜によって VulDB • 2026年08月04日
Flowiseは、カスタマイズされた大規模言語モデル（LLM）フローを構築するためのドラッグ＆ドロップ型ユーザーインターフェースです。バージョン3.1.3より前では、FlowiseのHTTPセキュリティモジュールhttpSecurity.tsは、IPv4マッピング済みIPv6アドレス（例：::ffff:127.0.0.1および::ffff:169.254.169.254）を拒否リストでチェックする前に正規化していませんでした。ipaddr.jsはこのアドレス類をipv6として報告するため、IPv4 CIDRの拒否リストエントリがipv4である場合、isDeniedIP()関数はIPv4 CIDRチェックをスキップしていました。HTTPノード、APIチェーン、ドキュメントローダー、MCPツール、またはsecureAxiosRequest()、secureFetch()、checkDenyList()を使用する他のパスでホスト名のDNS解決を制御できる攻撃者は、IPv4マッピング対象に対してAAAAレコードを返すことで、リクエストがlocalhostや内部サービス、クラウドメタデータエンドポイントに到達するように仕向ける可能性があります。この問題はバージョン3.1.3で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.