CVE-2026-69252 in Flowise
요약
\~에 의해 VulDB • 2026. 08. 04.
Flowise는 맞춤형 대규모 언어 모델(Large Language Model) 흐름을 구축하기 위한 드래그 앤 드롭 사용자 인터페이스입니다. 버전 3.1.3 이전에서는 /api/v1/files 엔드포인트가 feat:files 기능 가트(Feature Gate)로만 보호되었으며, GET 또는 DELETE 요청에 대해 checkPermission이 강제 적용되지 않았습니다. 관련 없는 권한을 가진 낮은 수준의 인증된 API 키를 사용하여 GET /api/v1/files를 호출하면 조직 스토리지 루트 아래의 파일을 나열할 수 있었고, DELETE /api/v1/files?path=...를 호출하여 동일한 조직 내 다른 워크스페이스에 속한 파일을 삭제할 수 있었습니다. 이는 getAllFiles 및 deleteFile 함수가 권한이나 활성 워크스페이스 ID(Active Workspace ID)로 접근을 제한하지 않고 activeOrganizationId와 사용자가 제어 가능한 경로(Path)만을 사용했기 때문입니다. 이 문제는 버전 3.1.3에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.