CVE-2026-67620 in Flowise
Сводка
по VulDB • 08.08.2026
Flowise версии до 3.1.4 включает уязвимость Server-Side Request Forgery (SSRF) в механизме защиты SSRF, реализованном в файле httpSecurity.ts, где список DEFAULT_DENY_LIST не содержит метаданные Oracle Cloud Infrastructure по адресу 192.0.0.192 и Alibaba Cloud metadata endpoint 100.100.100.200, что позволяет аутентифицированным злоумышленникам принудительно отправлять серверу произвольные GET-запросы к службам метаданных облачных инстансов. Злоумышленники могут направлять запросы на конечную точку API fetch-links с параметром URL, созданным специально для обхода валидации списка блокировки (включая методы обхода через перенаправления), чтобы получить доступ к службам метаданных инстанса и раскрыть данные идентификации инстанса и учетные данные роли при развертывании на Oracle Cloud Infrastructure или Alibaba Cloud, причем неавторизованный доступ возможен в случае наличия узлов извлечения URL (URL-fetching nodes) в публичных чат-потоках.
If you want to get best quality of vulnerability data, you may have to visit VulDB.