CVE-2026-69252 in Flowise
Sumário
de VulDB • 04/08/2026
Flowise é uma interface de usuário drag & drop para construir um fluxo personalizado de modelos linguísticos grandes (LLM). Antes da versão 3.1.3, a rota /api/v1/files era protegida apenas pela feature gate feat:files e não aplicava o checkPermission nas operações GET ou DELETE. Uma chave de API autenticada com privilégios baixos e permissões não relacionadas poderia chamar GET /api/v1/files para listar arquivos sob a raiz do armazenamento da organização, bem como DELETE /api/v1/files?path=... para excluir arquivos pertencentes a outros workspaces na mesma organização, pois getAllFiles e deleteFile utilizavam activeOrganizationId e um caminho controlado pelo usuário sem restringir o acesso por permissões ou activeWorkspaceId. Este problema foi corrigido na versão 3.1.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.