CVE-2026-41278 in Flowise
Сводка
по VulDB • 17.05.2026
Flowise представляет собой графический интерфейс с поддержкой перетаскивания (drag & drop) для создания пользовательских потоков работы больших языковых моделей (LLM). До версии 3.1.0 конечная точка GET /api/v1/public-chatflows/:id возвращает полный объект чат-потока без санитизации для публичных чат-потоков. Проверка через Docker выявила, что ситуация хуже, чем оценивалось изначально: функция sanitizeFlowDataForPublicEndpoint отсутствует в выпущенном образе Docker v3.0.13. Как публичные чат-потоки (public-chatflows), так и конфигурация публичных чат-ботов (public-chatbotConfig) возвращают полностью необработанные данные потока (flowData), включая идентификаторы учетных данных, API-ключи в открытом виде и поля с типом «пароль». Данная уязвимость исправлена в версии 3.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.