Anmelden
Deutsch English Español Polski
Hoch

Flowise Cors Misconfiguration in packages/server/src/index.ts

  • Veröffentlicht: 05.08.2024
  • Aktualisiert: 11.10.2026 10:22

Flowise is a drag & drop user interface to build a customized large language model flow. In version 1.4.3 of Flowise, A CORS misconfiguration sets the Access-Control-Allow-Origin header to all, allowing arbitrary origins to connect to the website. In the default configuration (unauthenticated), arbitrary origins may be able to make requests to Flowise, stealing information from the user. This CORS misconfiguration may be chained with the path injection to allow an attacker attackers without access to Flowise to read arbitrary files from the Flowise server. As of time of publication, no known patches are available.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
npm-Paket flowise <= 1.4.3 keine Korrektur

Verweise

CVSS-Wert 7.5/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Schwäche (CWE)
CWE-346
Plattform
npm
Paket
flowise
Veröffentlicht
05.08.2024
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-66f2-xxgm-f6xp - CC BY 4.0

Schwachstellenhistorie: flowise

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (114) im Archiv
Einträge insgesamt
114
Erste → letzte
04.2024 10.2026
Ohne Fix
16
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 28
  • Hoch 62
  • Mittel 24

Veröffentlichungen pro Jahr

Schweregrad:
  1. Flowise Cors Misconfiguration in packages/server/src/index.ts dieser Eintrag
    Hoch · 7.5 CVE-2024-36421 <= 1.4.3 keine Korrektur
  2. Flowise Prompt Injection to RCE and SSRF via CSV/Airtable Agent Python Validator Bypass
    Kritisch CVE-2026-73487 < 3.1.3 3.1.3
  3. Flowise NodeVM sandbox escape via puppeteer allowlist - authenticated RCE and arbitrary file read via Chromium
    Kritisch CVE-2026-73483 < 3.1.3 3.1.3
  4. Flowise: Unauthenticated OAuth2 token refresh endpoint returns access tokens — enables token theft for any connected service
    Kritisch CVE-2026-70478 < 3.1.3 3.1.3
  5. Flowise: CSV Agent Prompt Injection Remote Code Execution Vulnerability
    Kritisch CVE-2026-70477 < 3.1.3 3.1.3
  6. Flowise: Broken Access Control in Stripe Subscription Endpoints Allows Cross-Tenant Billing Manipulation
    Hoch CVE-2026-70476 < 3.1.3 3.1.3
  7. Flowise: Missing Authorization on Execution Update Endpoint
    Hoch CVE-2026-70475 < 3.1.3 3.1.3
  8. Flowise: Cross-Workspace OAuth2 Credential Metadata Leak
    Hoch CVE-2026-70474 < 3.1.3 3.1.3
  9. Flowise: Information Disclosure in GET /api/v1/upsert-history returns the entire server-wide upsert history
    Hoch CVE-2026-70473 < 3.1.3 3.1.3
  10. Flowise: Cross-workspace credential IDOR in openai-assistants-vector-store
    Hoch CVE-2026-70472 < 3.1.3 3.1.3
  11. Flowise: RCE via CSVAgent csvFile data URI base64 segment is interpolated into Python source without validation
    Kritisch CVE-2026-69264 < 3.1.3 3.1.3
  12. Flowise: Authenticated arbitrary file write in the `S3 Directory` document loader via unsanitized S3 object keys
    Hoch ghsa-88pr-878c-24wf < 3.1.3 3.1.3
  13. Flowise: RBAC Bypass Leading to Unauthorized Workspace Variables Disclosure
    Hoch CVE-2026-70471 < 3.1.3 3.1.3
  14. Flowise: Pyodide validator Unicode homoglyph bypass leads to RCE
    Kritisch CVE-2026-70470 < 3.1.3 3.1.3
  15. Flowise: CVE-2025-8943 Patch Bypass: npm_config_yes bypasses MCP environment variable blocklist (Unauthenticated RCE)
    Hoch CVE-2026-69263 < 3.1.3 3.1.3
  16. Flowise: `DELETE /api/v1/chatflows/:id` does not validate resource type, allowing `agentflows:delete` and `chatflows:delete` to delete each other’s flow type
    Hoch CVE-2026-69262 < 3.1.3 3.1.3
  17. Flowise RCE via SQLite Record Manager Node
    Kritisch CVE-2026-69259 < 3.1.3 3.1.3
  18. Flowise: Unauthenticated Property Injection into Flow Execution Context via Ungated `overrideConfig` Spread in Prediction API
    Hoch CVE-2026-69258 < 3.1.3 3.1.3
  19. Flowise: SSRF Protection Bypass via IPv4-Mapped IPv6 Addresses
    Hoch CVE-2026-69257 < 3.1.3 3.1.3
  20. Flowise: Remote Code Execution Vulnerability in CSVAgent
    Kritisch CVE-2026-69256 < 3.1.3 3.1.3
  21. Flowise: CSV Agent Remote Code Execution via Pyodide Code Injection — Root Shell Verified
    Kritisch CVE-2026-69255 < 3.1.3 3.1.3
Mehr anzeigen (20) 21 von 90 angezeigt

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.