CVE-2026-70471

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.3

Descrição O Flowise injeta $vars na sandbox de execução de código sem exigir a permissão variables:view, ignorando a API de Variáveis protegida por permissões. Um usuário ou chave de API não autorizada e sem a permissão variables:view pode chamar o endpoint /api/v1/node-custom-function e receber o $vars pré-preenchido com todas as variáveis do workspace. Isso inclui variáveis estáticas (mapeadas de Variable.name para Variable.value) e variáveis de tempo de execução (mapeadas de Variable.name para process.env[Variable.name]). Esta falha pode expor segredos sensíveis, como senhas de banco de dados, segredos JWT, senhas SMTP e chaves de nuvem, dependendo da configuração do workspace.

Recomendações Atualize para a versão 3.1.3. Restrinja o uso de variáveis type=runtime em ambientes auto-hospedados ou limite quais chaves de ambiente podem ser mapeadas.