CVE-2026-69258 in Flowise
요약
\~에 의해 VulDB • 2026. 08. 04.
Flowise는 맞춤형 대규모 언어 모델(Large Language Model) 흐름을 구축하기 위한 드래그 앤 드롭 사용자 인터페이스입니다. 버전 3.1.3 이전에서는 인증되지 않은 POST /api/v1/prediction/:id 엔드포인트가 overrideConfig 객체를 수락하고, apiOverrideStatus를 확인하지 않고 이를 packages/server/src/utils/buildChatflow.ts 및 packages/server/src/utils/index.ts의 내부 flowConfig 및 flowData 객체에 무조건적으로 전개(spread)했습니다. 이로 인해 인증되지 않은 공격자가 모든 공개 채팅 흐름(chatflow)의 실행 컨텍스트에 임의 속성을 주입하고, chatId, sessionId, chatHistory와 같은 값을 덮어쓰며, 흐름 노드(flow nodes)에서 소비되는 $flow.* 템플릿 변수를 통해 해결된 값을 제어할 수 있었습니다. 이 문제는 버전 3.1.3에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.