CVE-2026-70471

Flowise, özelleştirilmiş büyük dil modeli (LLM) akışları oluşturmak için kullanılan sürükle-bırak tabanlı bir kullanıcı arayüzüdür. 3.1.3 sürümünden önce Flowise, variables:view izni gerektirmeden $vars değişkenlerini kod yürütme sandbox'ına dahil ederek izin korumalı Variables API'sini atlamaktadır. Aktif çalışma alanı için değişkenler packages/components/src/utils.ts konumundan alınmakta ve çalışma zamanı değişkenleri sunucu ortam değişkenlerinden çözümlenirken, resmi değişkenler rotası variables:view iznini zorunlu kılmaktadır. variables:view izni reddedilen bir kullanıcı veya API anahtarı, /api/v1/node-custom-function uç noktasını çağırabilir ve Variable.name ile Variable.value arasındaki statik değişkenler ile Variable.name ile process.env[Variable.name] arasındaki çalışma zamanı değişkenleri dahil olmak üzere çalışma alanındaki tüm değişkenlerle önceden doldurulmuş $vars değerlerini alabilir. Bu durum, çalışma alanı Variables yapılandırmasına bağlı olarak veritabanı şifreleri, JWT sırları, SMTP şifreleri ve bulut anahtarları gibi gizli bilgilerin açığa çıkmasına neden olabilir. Bu sorun 3.1.3 sürümünde düzeltilmiştir.