PT-2026-24483 · Flowise · Flowise

Nlgbao1340 · Publicado 2026-03-10 · Atualizado 2026-04-12 · CVE-2026-31829

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Flowise anteriores à 3.0.13

Descrição O Flowise, uma interface de usuário de arrastar e soltar para criar fluxos personalizados de modelos de linguagem grandes, contém uma vulnerabilidade de Falsificação de Requisição do Lado do Servidor (SSRF). O aplicativo expõe um Nó HTTP dentro do AgentFlow e do Chatflow que realiza solicitações HTTP do lado do servidor usando URLs controladas pelo usuário. Não há restrições aos hosts de destino, permitindo solicitações para intervalos de IPs privados, localhost ou endpoints de metadados de nuvem. Isso permite que um atacante interagindo com um chatflow exposto publicamente force o servidor Flowise a realizar solicitações a recursos de rede interna que, de outra forma, seriam inacessíveis a partir da internet pública.

Recomendações Atualize para a versão 3.0.13 ou posterior.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-31829

GHSA-FVCW-9W9R-PXC7

Produtos afetados

Flowise

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/31xxx/CVE-2026-31829.json · Exploit
• https://github.com/FlowiseAI/Flowise · Nota
• https://github.com/FlowiseAI/Flowise/security/advisories/GHSA-fvcw-9w9r-pxc7 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-fvcw-9w9r-pxc7 · Aviso do Fabricante
• https://t.me/CVEtracker/47035 · Publicação no Telegram
• https://raxe.ai/labs/advisories · Publicação no Reddit
• https://twitter.com/CVEnew/status/2031504067000762489 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-31829 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-31829 · Nota de Segurança
• https://twitter.com/pulsepatchio/status/2043165028501647442 · Publicação no Twitter