CVE-2026-69258

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.3

Description Um endpoint não autenticado permite que invasores injetem propriedades arbitrárias no contexto de execução de fluxo de qualquer chatflow público. Isso ocorre porque o objeto overrideConfig fornecido nas requisições é mesclado incondicionalmente aos objetos internos flowConfig e flowData sem verificar a configuração apiOverrideStatus. Essa falha possibilita o sequestro de sessão, poluição de dados entre sessões e manipulação do histórico de chat. Especificamente, invasores podem sobrescrever variáveis críticas como chatId, sessionId e chatHistory, ou controlar valores resolvidos por meio de variáveis de modelo $flow.* consumidas por nós de fluxo.

Detalhes técnicos incluem:

Recommendations Atualize o Flowise para a versão 3.1.3 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint POST /api/v1/prediction/:id apenas a redes confiáveis.