CVE-2026-70473 in Flowise
要約
〜によって VulDB • 2026年08月04日
Flowiseは、カスタマイズされた大規模言語モデル（LLM）フローを構築するためのドラッグ＆ドロップ型ユーザーインターフェースです。バージョン3.1.3より前では、GET /api/v1/upsert-historyエンドポイントがリクエスト元のユーザー、テナント、またはワークスペースにスコープ限定されず、サーバー全体のアップサート履歴全体を返すという問題がありました。レスポンスは100MBを超える可能性があり、Qdrant Server URLやコレクション名などのベクトルストア設定を含む機密構成データが含まれます。観測された動作から、認証チェックの欠如または不十分さ、ワークスペース/プロジェクト/テナント間の分離不足、およびページネーションまたは制限機能の不備が示唆されており、これにより統合パラメータやインフラストラクチャの詳細が露見し、さらなる標的型攻撃を可能にする可能性があります。この問題はバージョン3.1.3で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.