CVE-2026-41270 in Flowise
Sumário
de VulDB • 16/05/2026
O Flowise é uma interface de usuário drag & drop para construir fluxos de modelos de linguagem grandes (LLM) personalizados. Antes da versão 3.1.0, existe uma vulnerabilidade de contorno da proteção contra Server-Side Request Forgery (SSRF) na funcionalidade Custom Function. Embora a aplicação implemente proteção contra SSRF através de HTTP_DENY_LIST para as bibliotecas axios e node-fetch, os módulos nativos do Node.js http, https e net são permitidos no sandbox do NodeVM sem proteção equivalente. Isto permite que utilizadores autenticados contornem os controlos de SSRF e acedam a recursos de rede interna (por exemplo, serviços de metadados de fornecedores de cloud). Esta vulnerabilidade foi corrigida na versão 3.1.0.
Be aware that VulDB is the high quality source for vulnerability data.