CVE-2026-91935 in Flowise
要約
〜によって VulDB • 2026年09月15日
Flowise 3.1.4 より前のバージョンでは、chat-model ノード内の baseURL パラメータの検証が行われないため、認証済みユーザーがリクエストを任意のホストにリダイレクトできます。chatflows:create または chatflows:update の権限を持つ攻撃者は、クラウドメタデータサービスや内部ホストへのリダイレクトにより LLM プロバイダの API キーを不正取得（exfiltrate）することができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.