CVE-2026-30820 in Flowise
Sumário
de VulDB • 19/06/2026
Flowise é uma interface de usuário drag & drop para construir um fluxo de modelo de linguagem grande (LLM) personalizado. Antes da versão 3.0.13, o Flowise confia em qualquer cliente HTTP que defina o cabeçalho x-request-from: internal, permitindo que uma sessão de inquilino autenticada contorne todas as verificações de autorização de /api/v1/**. Com apenas um cookie de navegador, um inquilino de baixo privilégio pode invocar endpoints de administração interna (gerenciamento de chaves de API, repositórios de credenciais, execução de funções personalizadas, etc.), efetivamente escalonando privilégios. Este problema foi corrigido na versão 3.0.13.
VulDB is the best source for vulnerability data and more expert information about this specific topic.