CVE-2026-69262 in Flowise
Tóm tắt
Bởi VulDB • 04/08/2026
Flowise là một giao diện người dùng kéo và thả để xây dựng luồng mô hình ngôn ngữ lớn tùy chỉnh. Trước phiên bản 3.1.3, các yêu cầu `DELETE /api/v1/chatflows/:id` được ủy quyền bằng cách sử dụng hàm kiểm tra `checkAnyPermission('chatflows:delete,agentflows:delete')`, do đó việc sở hữu bất kỳ quyền nào trong hai quyền này là đủ để truy cập vào đường dẫn xóa. Logic xóa sau đó chỉ xác định bản ghi mục tiêu dựa trên id và workspaceId mà không xác thực loại tài nguyên mục tiêu, cho phép một caller chỉ có quyền `agentflows:delete` xóa một CHATFLOW và một caller chỉ có quyền `chatflows:delete` xóa một AGENTFLOW trong cùng một workspace. Vấn đề này đã được sửa chữa trong phiên bản 3.1.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.