CVE-2026-100610

Flowise 3.1.4 versiyasına qədər olan versiyalarda GET /api/v1/upsert-history/:id və PATCH /api/v1/upsert-history marşrutları səviyyəsində icazə yoxlamaları mövcud deyil və arxa plan xidməti iş sahəsi (workspace) və ya mülkiyyət təsdiqləməsini həyata keçirmir. getAllUpsertHistory() funksiyası yalnız hücum edən tərəfindən təmin edilən chatflowid əsasında seçilmiş UpsertHistory sətirlərini qaytarır, patchDeleteUpsertHistory() isə hücum edən tərəfindən təmin edilən record UUID-lərindən ibarət massiv vasitəsilə sətirləri silir. Nəticə etibarilə, hədəf chatflowId (/chatbot/<chatflowId> paylaşım linklərində açıq şəkildə görünür) və ya sətir ID-ləri məlum olduqda, autentifikasiya olunmuş istənilən aşağı imtiyazlı istifadəçi və ya etibarlı API açarı digər istifadəçilərə və digər iş sahələrinə aid sənəd deposu (document-store) upsert tarixçəsini oxuya və ya silə bilər. Əldə edilə bilən flowData və result sahələri embedding, record-manager və vector-store düyün konfiqurasiyasını, o cümlədən hər bir düyünün paramValues dəyərlərini ehtiva edir. Hələ ki, düzəliş edilmiş versiya mövcud deyil.