CVE-2026-43995
KrytyczneStreszczenie
Flowise to interfejs typu drag & drop do budowania dostosowanych przepływów dużych modeli językowych. W wersjach przed 3.1.0, kilka implementacji narzędzi bezpośrednio importuje i wywołuje surowe klienty HTTP, co stwarza lukę bezpieczeństwa.
Ocena ryzyka
Użycie niezabezpieczonych klientów HTTP może prowadzić do nieautoryzowanego dostępu do danych oraz ataków typu man-in-the-middle, co zagraża integralności i poufności informacji.
Rekomendacja
Zaleca się aktualizację do wersji 3.1.0, aby skorzystać z zabezpieczonego wrappera i zminimalizować ryzyko związane z tą podatnością.
Oryginalny opis (angielski, źródło NVD)
Flowise is a drag & drop user interface to build a customized large language model flow. Prior to 3.1.0, multiple tool implementations directly import and invoke raw HTTP clients (node-fetch, axios) instead of using the secured wrapper. These tools include (1) OpenAPIToolkit/OpenAPIToolkit.ts, (2) WebScraperTool/WebScraperTool.ts, (3) MCP/core.ts, and (4) Arxiv/core.ts. This vulnerability is fixed in 3.1.0.