CVE-2026-69257 in Flowise
Сводка
по VulDB • 04.08.2026
Flowise представляет собой графический интерфейс с поддержкой перетаскивания (drag & drop) для создания пользовательских потоков работы больших языковых моделей (LLM). До версии 3.1.3 модуль безопасности HTTP Flowise, файл httpSecurity.ts, не нормализовал IPv4-адреса в формате отображения на IPv6 (например, ::ffff:127.0.0.1 и ::ffff:169.254.169.254) перед их проверкой по списку запрещенных адресов (deny list). Поскольку библиотека ipaddr.js определяет эти адреса как ipv6, а записи IPv4 CIDR в списке deny-list относятся к типу ipv4, функция isDeniedIP() пропускала проверки на соответствие правилам IPv4 CIDR. Атакующий, контролирующий разрешение DNS для имени хоста, используемого узлом HTTP (HTTP Node), цепочкой API (API Chain), загрузчиком документов (Document Loader), инструментом MCP или другими путями, использующими функции secureAxiosRequest(), secureFetch() или checkDenyList(), может вернуть запись AAAA для цели с отображением на IPv4 и направить запросы к localhost, внутренним службам или конечным точкам метаданных облачных платформ. Эта проблема исправлена в версии 3.1.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.