Flowise: Mehrere Schwachstellen
WID-SEC-2026-2589 · primera publicación 30.07.2026 · actualizado 10.09.2026 · CVSS 9,0
De qué se trata
Flowise ist eine Benutzeroberfläche zur Erstellung von LLMs (Large Language Model). Ein Angreifer kann mehrere Schwachstellen in Flowise ausnutzen, um beliebigen Code auszuführen – sogar mit Root-Rechten –, erweiterte Privilegien zu erlangen, Sicherheitsmaßnahmen zu umgehen, Sitzungen zu kapern sowie Daten offenzulegen oder zu manipulieren.
¿En qué condiciones?
El BSI no indica requisitos especiales. Explotable a distancia según el BSI.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- beliebigen Code auszuführen – sogar mit Root-Rechten –
- erweiterte Privilegien zu erlangen
- Sicherheitsmaßnahmen zu umgehen
- Sitzungen zu kapern sowie Daten offenzulegen oder zu manipulieren
¿Me afecta?
Afectados según el BSI:
- Open Source Flowise <3.1.4
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Open Source Flowise 3.1.4
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
- Aviso original del BSI (WID)
- GitHub Security Advisory GHSA-3769-jgqc-cxm7 vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-4878-cqgq-j53v vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-4j8x-x6v7-w9rq vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-52fh-8v99-63c2 vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-5xvg-pmgg-3mxr vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-6vh2-wg4h-4vwj vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-88pr-878c-24wf vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-8r8h-6vcc-xhrv vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-9gvv-qjj3-2p6g vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-c5hr-rc98-xp3g vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-c6xh-wv4j-ppv5 vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-chm3-vqcf-52rx vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-fm2f-4339-4p2f vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-fr6g-7cq8-fg82 vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-g32j-mmxr-gfq5 vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-g98q-rm45-q9h8 vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-gmmw-qg98-6j6p vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-p5w8-m249-4r4v vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-qgvm-j2hm-6m38 vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-r745-8hwv-h473 vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-rqh4-rxw3-93rp vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-vmv7-4m6c-3cg5 vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-w7x8-q2gp-5cgg vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-wch5-xp77-fxg4 vom 2026-07-29 github.com
- GitHub Security Advisory GHSA-wg86-r78f-74mp vom 2026-07-29 github.com
y 5 fuentes más en el aviso original
CVE: CVE-2026-69250, CVE-2026-69251, CVE-2026-69252, CVE-2026-69253, CVE-2026-69254, CVE-2026-69255, CVE-2026-69256, CVE-2026-69257, CVE-2026-69258, CVE-2026-69259, CVE-2026-69262, CVE-2026-69263, CVE-2026-69264, CVE-2026-70470, CVE-2026-70471, CVE-2026-70472, CVE-2026-70473, CVE-2026-70474, CVE-2026-70475, CVE-2026-70476 …
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.