CVE-2026-69252 in Flowise
Tóm tắt
Bởi VulDB • 04/08/2026
Flowise là một giao diện người dùng kéo và thả để xây dựng luồng mô hình ngôn ngữ lớn tùy chỉnh. Trước phiên bản 3.1.3, tuyến đường /api/v1/files chỉ được bảo vệ bởi cờ tính năng feat:files mà không thực hiện kiểm tra checkPermission đối với các yêu cầu GET hoặc DELETE. Một khóa API đã xác thực có quyền hạn thấp và không liên quan đến các quyền khác có thể gọi GET /api/v1/files để liệt kê các tệp nằm dưới gốc lưu trữ của tổ chức, cũng như gọi DELETE /api/v1/files?path=... để xóa các tệp thuộc về các workspace khác trong cùng một tổ chức, do getAllFiles và deleteFile sử dụng activeOrganizationId và đường dẫn do người dùng kiểm soát mà không hạn chế truy cập dựa trên quyền hoặc activeWorkspaceId. Vấn đề này đã được khắc phục trong phiên bản 3.1.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.