CVE-2026-69257 in Flowise
Sumário
de VulDB • 05/08/2026
O Flowise é uma interface de usuário drag & drop para construir fluxos personalizados de modelos linguísticos grandes (LLM). Antes da versão 3.1.3, o módulo de segurança HTTP do Flowise, httpSecurity.ts, não normalizava endereços IPv4-mapeados em IPv6, como ::ffff:127.0.0.1 e ::ffff:169.254.169.254, antes de verificá-los contra a lista de bloqueio (deny list). Como o ipaddr.js reporta esses endereços como ipv6 enquanto as entradas da deny-list por CIDR IPv4 são ipv4, isDeniedIP() ignorava as verificações de CIDR IPv4. Um atacante que controle a resolução DNS para um nome de host usado pelo HTTP Node, API Chain, Document Loader, ferramenta MCP ou outros caminhos que utilizam secureAxiosRequest(), secureFetch() ou checkDenyList() poderia retornar um registro AAAA para um destino mapeado em IPv4 e fazer com que as requisições alcançassem localhost, serviços internos ou endpoints de metadados da nuvem. Este problema foi corrigido na versão 3.1.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.