CVE-2026-91937

Flowise przed wersją 3.1.4 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w węzłach ładowania dokumentów Cheerio, Playwright i Puppeteer, które omijają ochronę SSRF. Atakujący mogą podać dowolne adresy URL, aby pobrać metadane chmury, usługi wewnętrzne i zasoby sieci prywatnej, a treść odpowiedzi jest zwracana jako tekst dokumentu.

Flowise w wersjach przed 3.1.4 zawiera podatność na wstrzyknięcie skryptu w przepływach pracy budowania obrazów Docker, gdzie dane wejściowe workflow_dispatch są bezpośrednio interpolowane do bloków uruchamiania powłoki. Atakujący z uprawnieniami zapisu do repozytorium mogą wstrzyknąć metaznaki powłoki poprzez dane wejściowe, takie jak tag_version i node_version.

Flowise przed wersją 3.1.4 nie waliduje parametrów baseURL w węzłach modeli czatu, co pozwala uwierzytelnionym użytkownikom na przekierowanie żądań do dowolnych hostów. Atakujący z uprawnieniami chatflows:create lub chatflows:update mogą eksfiltrować klucze API dostawcy LLM, przekierowując żądania do usług metadanych chmury lub wewnętrznych hostów.

Flowise przed wersją 3.1.4 nie waliduje ścieżek plików w węźle SQL Database Chain podczas łączenia się z bazami SQLite, co pozwala uwierzytelnionym atakującym na zapis dowolnych plików. Atakujący mogą zapisywać złośliwe bazy SQLite w katalogach systemowych lub wstrzykiwać pliki do katalogu głównego serwera WWW, aby wykonywać polecenia lub przeprowadzać ataki XSS.

Flowise w wersjach przed 3.1.4 nie egzekwuje kontroli autoryzacji na poziomie obszaru roboczego w endpointach openai-realtime. Uwierzytelniony użytkownik może podać nieprzypisany do obszaru chatflowid i uzyskać dostęp do narzędzi z ChatFlows należących do innych obszarów roboczych.

Flowise w wersjach przed 3.1.4 zawiera lukę obejścia walidacji w konfiguracji serwera MCP, umożliwiającą uwierzytelnionemu atakującemu zdalne wykonanie kodu poprzez niezwalidowany parametr cwd. Atakujący może obejść walidację ścieżki, używając czystych nazw plików w tablicy args przy jednoczesnej kontroli katalogu roboczego.

Flowise w wersjach przed 3.1.4 zawiera lukę zdalnego wykonania kodu w węźle Custom MCP, umożliwiającą uwierzytelnionemu atakującemu wykonanie dowolnego kodu poprzez podanie nazw pakietów npx w parametrze mcpServerConfig. Atakujący może wywołać npx z kontrolowanymi przez siebie pakietami npm.

Flowise w wersjach przed 3.1.4 nie ogranicza API członkostwa w organizacjach i obszarach roboczych przedsiębiorstwa do dzierżawy wywołującego, umożliwiając uwierzytelnionym użytkownikom podanie dowolnych identyfikatorów organizacji. Atakujący może dodać siebie jako właściciela organizacji, tworzyć obszary robocze i uzyskać dostęp administracyjny do organizacji ofiar.

Flowise w wersjach przed 3.1.4 zawiera luki w autoryzacji między dzierżawami w endpointach Enterprise, które nie weryfikują własności zasobów przed operacjami. Atakujący z dostępem Enterprise może usuwać dowolne obszary robocze, zapraszać siebie do innych organizacji, modyfikować role między organizacjami i nadużywać przechowywanych sekretów SSO.

Podatność w Flowise 3.1.2 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez endpoint /api/v1/prediction/<flowId>. Nie podano dodatkowych szczegółów.