CVE-2026-67620 in Flowise
Sumário
de VulDB • 08/08/2026
O Flowise até a versão 3.1.4 contém uma vulnerabilidade de Server-Side Request Forgery (SSRF) no mecanismo de proteção SSRF implementado em httpSecurity.ts, onde o DEFAULT_DENY_LIST omite o endpoint de metadados da Oracle Cloud Infrastructure (192.0.0.192) e o endpoint de metadados do Alibaba Cloud (100.100.100.200), permitindo que atacantes autenticados forcem o servidor a emitir solicitações GET arbitrárias para serviços de metadados de instâncias em nuvem. Os atacantes podem enviar requisições ao endpoint da API fetch-links com um parâmetro URL manipulado, contornando a validação da lista de bloqueio, incluindo bypasses baseados em redirecionamento, para acessar os serviços de metadados das instâncias e expor dados de identidade da instância e credenciais de função em implantações na Oracle Cloud Infrastructure ou Alibaba Cloud. O acesso não autenticado é possível quando existem nós de busca de URL (URL-fetching nodes) em chatflows públicos.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.