JVNDB-2026-006978

flowiseaiのflowiseにおける危険なタイプのファイルの無制限アップロードに関する脆弱性

Flowiseは、カスタマイズされた大規模言語モデルのフローを構築するためのドラッグ＆ドロップユーザーインターフェースです。バージョン3.0.13以前では、/api/v1/attachments/:chatflowId/:chatIdエンドポイントがWHITELIST_URLSにリストされており、認証なしでファイルアップロードAPIにアクセスできました。サーバーはchatbotConfig.fullFileUpload.allowedUploadFileTypesに定義されたMIMEタイプに基づいてアップロードを検証しますが、ファイルの実際の内容（マジックバイト）や拡張子（file.originalname）を検証せず、クライアントから提供されるContent-Typeヘッダー（file.mimetype）を暗黙のうちに信頼していました。そのため、攻撃者はContent-Typeを許可されたタイプ（例：application/pdf）に偽装しつつ、悪意のあるスクリプトや任意のファイルをアップロードすることでこの制限を回避できます。addArrayFilesToStorageを介してアップロードされたこれらのファイルは、バックエンドストレージ（S3、GCS、またはローカルディスク）に永続化されます。この脆弱性は、静的ホスティングやファイル取得などの他の機能と連携すると、Stored XSSや悪意のあるファイルホスティング、またはリモートコード実行（RCE）につながるクリティカルな侵入口になります。この問題はバージョン3.0.13で修正されました。

flowiseai

• flowise 3.0.13 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Arbitrary File Upload via MIME Spoofing in FlowiseAI/Flowise  Advisory  FlowiseAI/Flowise  GitHub

1. 危険なタイプのファイルの無制限アップロード(CWE-434) [その他]

1. CVE-2026-30821

1. National Vulnerability Database (NVD) : CVE-2026-30821
2. 関連文書 : Release flowise@3.0.13  FlowiseAI/Flowise  GitHub

• [2026年03月16日]
    掲載