CVE-2026-70478 in Flowise
Сводка
по VulDB • 05.08.2026
Flowise представляет собой пользовательский интерфейс с функцией перетаскивания (drag & drop) для создания настраиваемых рабочих процессов больших языковых моделей (LLM). До версии 3.1.3 конечная точка POST /api/v1/oauth2-credential/refresh/:credentialId включена в список WHITELIST_URLS и не требует аутентификации. Эта конечная точка расшифровывает сохраненные учетные данные, отправляет запрос на обновление токенов (refresh request) настроенному провайдеру OAuth с использованием клиентского секрета (client secret) и refresh-токена, а затем возвращает обновленный access_token в теле ответа. Злоумышленник, обладающий идентификатором учетных данных (credential ID), может использовать этот токен для доступа к подключенному сервису жертвы, а также исчерпать квоту на использование refresh-токенов. Данная проблема исправлена в версии 3.1.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.