CVE-2026-69258

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.1
EPSS: 0.7%
CWE: CWE-639
KEV Durumu: Hayır

Yayım tarihi: 4 Ağustos 2026

Etkilenen: flowiseai flowise

Flowise, büyük bir dil modeli akışını özelleştirmek için bir sürükle ve bırak kullanıcı arabirimi sağlar. 3.1.3 sürümünden önce, kimliği doğrulanmamış POST /api/v1/prediction/:id endpoint, bir overrideConfig nesnesi kabul etti ve apiOverrideStatus kontrolü yapılmadan internal flowConfig ve flowData nesnelerine koşulsuz olarak yaydı. Bu, packages/server/src/utils/buildChatflow.ts ve packages/server/src/utils/index.ts dosyalarında gerçekleşti. Bu durum, kimliği doğrulanmamış saldırganların herhangi bir halka açık sohbet akışının akış yürütme bağlamına keyfi özellikler enjekte etmesine, chatId, sessionId ve chatHistory gibi değerleri geçersiz kılmasına ve akış düğümleri tarafından tüketilen $flow.* şablon değişkenleri aracılığıyla çözülen değerleri kontrol etmesine olanak tanıdı. Bu sorun 3.1.3 sürümünde giderildi.

Orijinal açıklama (İngilizce)

Flowise is a drag & drop user interface to build a customized large language model flow. Prior to 3.1.3, the unauthenticated POST /api/v1/prediction/:id endpoint accepted an overrideConfig object and unconditionally spread it into internal flowConfig and flowData objects in packages/server/src/utils/buildChatflow.ts and packages/server/src/utils/index.ts without checking apiOverrideStatus. This allowed unauthenticated attackers to inject arbitrary properties into the flow execution context of any public chatflow, overwrite values such as chatId, sessionId, and chatHistory, and control values resolved through $flow.* template variables consumed by flow nodes. This issue is fixed in version 3.1.3.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.