JVNDB-2026-033555

flowiseaiのflowiseにおける不正な認証に関する脆弱性

Flowiseは、カスタマイズされた大規模言語モデル（LLM）のフローを構築するためのドラッグアンドドロップ式ユーザーインターフェースです。バージョン3.1.3より前のFlowiseでは、変数:viewの権限を必要とせずに、$varsをコード実行サンドボックスに注入し、権限保護されたVariables APIをバイパスしていました。アクティブなワークスペースの変数はpackages/components/src/utils.tsで取得され、ランタイム変数はサーバーの環境変数から解決されますが、公式の変数ルートではvariables:viewが強制されています。variables:viewの権限が拒否されたユーザーやAPIキーであっても、/api/v1/node-custom-functionを呼び出すことで、ワークスペース内のすべての変数で事前に埋め込まれた$varsを受け取ることができます。$varsには、Variable.nameからVariable.valueへの静的変数や、Variable.nameからprocess.env[Variable.name]へのランタイム変数が含まれています。これにより、ワークスペースのVariables設定によっては、データベースのパスワード、JWTシークレット、SMTPパスワード、クラウドキーなどの秘密情報が漏洩する可能性があります。この問題はバージョン3.1.3で修正されました。

flowiseai

• flowise 3.1.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : RBAC Bypass Leading to Unauthorized Workspace Variables Disclosure  Advisory  FlowiseAI/Flowise  GitHub

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-70471

1. National Vulnerability Database (NVD) : CVE-2026-70471
2. 関連文書 : Release flowise@3.1.3  FlowiseAI/Flowise  GitHub

• [2026年09月15日]
    掲載