CVE-2026-69251 in Flowise
요약
\~에 의해 VulDB • 2026. 08. 04.
Flowise는 맞춤형 대규모 언어 모델(Large Language Model) 흐름을 구축하기 위한 드래그 앤 드롭 사용자 인터페이스입니다. 버전 3.1.3 이전의 Flowise에서는 record manager 및 agent memory 노드를 통해 사용자가 packages/components/nodes/recordmanager/MySQLRecordManager/MySQLrecordManager.ts, packages/components/nodes/recordmanager/PostgresRecordManager/PostgresRecordManager.ts, packages/components/nodes/recordmanager/SQLiteRecordManager/SQLiteRecordManager.ts, packages/components/nodes/memory/AgentMemory/MySQLAgentMemory/MySQLAgentMemory.ts 및 packages/components/nodes/memory/AgentMemory/AgentMemory.ts의 additionalConfig 입력을 통해 임의의 TypeORM DataSource 옵션을 설정할 수 있었습니다. entities, subscribers, migrations과 같은 TypeORM DataSource 옵션은 로컬 JavaScript 파일을 로드할 수 있으므로, 인증된 사용자가 JavaScript 페이로드를 업로드하고 이를 additionalConfig.entities에서 참조함으로써 서버에서 임의의 코드를 실행할 수 있습니다. 이 문제는 버전 3.1.3에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.