CVE-2026-70473

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.3

Description Flowise é uma interface de usuário drag-and-drop para a construção de fluxos personalizados de modelos de linguagem de grande escala (LLM). O endpoint GET /api/v1/upsert-history retorna todo o histórico de upsert do servidor em vez de restringir os dados ao usuário, locatário ou espaço de trabalho solicitante. Isso ocorre devido a verificações de autorização ausentes ou insuficientes, falta de isolamento de espaço de trabalho, projeto ou locatário, e ausência de paginação ou limites. A resposta resultante pode exceder 100MB e expõe dados de configuração sensíveis e detalhes de infraestrutura, como configurações de Vector Store, incluindo as variáveis qdrantServerUrl e qdrantCollection. Essa divulgação de informações pode permitir ataques direcionados adicionais.

Recommendations Atualize para a versão 3.1.3. Como medida paliativa temporária, restrinja o acesso ao endpoint GET /api/v1/upsert-history para minimizar o risco de exploração.