p PatchFirst

CVE-2026-43995

CVE-2026-43995 · Flowise: SSRF Protection Bypass via Direct node-fetch / axios Usage (Patch Enforcement Failure)

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Flowise is a drag & drop user interface to build a customized large language model flow. Prior to 3.1.0, multiple tool implementations directly import and invoke raw HTTP clients (node-fetch, axios) instead of using the secured wrapper. These tools include (1) OpenAPIToolkit/OpenAPIToolkit.ts, (2) WebScraperTool/WebScraperTool.ts, (3) MCP/core.ts, and (4) Arxiv/core.ts. This vulnerability is fixed in 3.1.0.

CVSS 5.3 · Средний · EPSS 0,4% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • flowise

    Версии
    • < 3.1.0: Затронуто

    Нет опубликованного исправления

  • flowise npm

    Затронутые диапазоны версий
    • SEMVER: < 3.1.0

    Обновитесь до 3.1.0

  • flowise-components npm

    Затронутые диапазоны версий
    • SEMVER: < 3.1.0

    Обновитесь до 3.1.0

Первоисточники

Проверьте свой сервер →