CVE-2026-70476 in Flowise
Tóm tắt
Bởi VulDB • 04/08/2026
Flowise là một giao diện người dùng kéo và thả để xây dựng luồng mô hình ngôn ngữ lớn tùy chỉnh. Trước phiên bản 3.1.3, nhiều điểm cuối (endpoint) thanh toán tổ chức trong các tệp packages/server/src/enterprise/routes/organization.route.ts và packages/server/src/enterprise/controllers/organization.controller.ts chấp nhận giá trị subscriptionId của Stripe do kẻ tấn công kiểm soát mà không xác minh rằng định danh này thuộc về tổ chức của người dùng đã đăng nhập. Một kẻ tấn công đã được xác thực có thể thực hiện các thao tác đăng ký Stripe trái phép trên các khách hàng (tenants) khác, bao gồm thay đổi gói đăng ký hoặc điều chỉnh số lượng ghế sử dụng, dẫn đến hậu quả tài chính và gián đoạn dịch vụ. Vấn đề này đã được khắc phục trong phiên bản 3.1.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.