Flowise · Flowise · CVE-2026-43995
**Nome do Software Vulnerável e Versões Afetadas**
Flowise versões anteriores a 3.1.0
**Description**
Múltiplas implementações de ferramentas ignoram o wrapper de segurança HTTP centralizado (`httpSecurity.ts`), que foi projetado para fornecer proteções contra Server-Side Request Forgery (SSRF) por meio de validação de lista de negação, validação de resolução de IP, fixação de IP e bloqueio de loopback. Em vez de usar esse wrapper seguro, certas ferramentas importam e invocam diretamente clientes HTTP brutos, como `node-fetch` e `axios`. Essa falha arquitetural permite que solicitações de saída sejam executadas sem validação, possibilitando o acesso a recursos de rede interna e o potencial roubo de metadados e credenciais de nuvem. Os componentes afetados incluem `OpenAPIToolkit.ts`, `WebScraperTool.ts`, `MCP/core.ts` e `Arxiv/core.ts`.
**Recommendations**
Atualize para a versão 3.1.0.
Como medida paliativa temporária, restrinja o acesso às ferramentas `OpenAPIToolkit`, `WebScraperTool`, `MCP` e `Arxiv` para minimizar o risco de exploração.