根據其標題，遠端主機上執行的 Flowise 版本小於 3.1.0。因此，該應用程式受到多個弱點影響：

- 透過 Airtable 代理程式的遠端程式碼執行弱點

- GraphCypherQAChain 中的密碼注入

- 向量儲存區 basePath 中的路徑遊走

- 透過不安全的 HTTP 傳送的密碼重設連結

- resetPassword 驗證繞過弱點

- DocumentStore 建立端點中的大量指派

- 透過直接節點擷取的 SSRF 保護繞過

- CSV 代理程式提示注入遠端程式碼執行弱點

- 透過公用聊天流程端點洩露敏感資訊

- 透過未經驗證的 TTS 端點的信用濫用

- 透過 Flowise 執行流程的 SSRF

請注意，掃描器程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

According to its banner, the version of Flowise running on the remote host is < 3.1.0. It is, therefore, affected by multiple vulnerabilities :

- A Remote Code Execution Vulnerability through Airtable Agent

- A Cypher Injection in GraphCypherQAChain

- A Path Traversal in Vector Store basePath

- A Password Reset Link Sent Over Unsecured HTTP

- A resetPassword Authentication Bypass Vulnerability

- A Mass Assignment in DocumentStore Create Endpoint

- An SSRF Protection Bypass via Direct node-fetch

- A CSV Agent Prompt Injection Remote Code Execution Vulnerability

- A Sensitive Information Disclosure through public chatflow endpoints

- A Credit Abuse through an unauthenticated TTS endpoint

- An SSRF through Flowise Execute Flow

Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.

バナーによると、リモートホストで実行中の Flowise のバージョンは、< 3.1.0 です。したがって、以下の複数の脆弱性による影響を受けます。

- Airtable Agent によるリモートコード実行の脆弱性

- GraphCypherQAChain における暗号インジェクション

- ベクトルストア basePath のパストラバーサル

- 安全でない HTTP で送信されたパスワードリセットリンク

- resetPassword 認証バイパスの脆弱性

- DocumentStore 作成エンドポイントでの一括割り当て

- ダイレクトノードフェッチによる SSRF 保護バイパス

- CSV エージェントのプロンプトインジェクションによるリモートコード実行の脆弱性

- パブリックチャットフローエンドポイントを介した機密情報漏洩

- 認証されていない TTS エンドポイントによるクレジット悪用

- Flowise 実行フローを通じた SSRF

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

根据其标题，远程主机上运行的 Flowise 版本小于 3.1.0。因此，该服务器受到多个漏洞的影响：

- 通过 Airtable Agent 引入的远程代码执行漏洞。

- GraphCypherQAChain 中的密码注入

- 矢量存储 basePath 中的路径遍历

- 通过不安全的 HTTP 发送密码重置链接

- resetPassword 身份验证绕过漏洞

- DocumentStore Create 端点中的批量分配

- 通过直接节点提取绕过 SSRF 保护

- CSV 代理提示注入远程代码执行漏洞

- 通过公共聊天流端点泄露敏感信息

- 通过未经身份验证的 TTS 端点滥用信用

- 通过 Flowise 执行流实现的 SSRF

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Flowise is a drag & drop user interface to build a customized large language model flow. Prior to 3.1.0,
    multiple tool implementations directly import and invoke raw HTTP clients (node-fetch, axios) instead of
    using the secured wrapper. These tools include (1) OpenAPIToolkit/OpenAPIToolkit.ts, (2)
    WebScraperTool/WebScraperTool.ts, (3) MCP/core.ts, and (4) Arxiv/core.ts. This vulnerability is fixed in
    3.1.0. (CVE-2026-43995)

ID	Name	Product	Family	Published	Updated	Severity
115279	Flowise < 3.1.0 多個弱點	Web App Scanning	Artificial Intelligence	7/3/2026	7/3/2026	critical
115279	Flowise < 3.1.0 Multiples Vulnerabilities	Web App Scanning	Artificial Intelligence	7/3/2026	7/3/2026	critical
115279	Flowise < 3.1.0 の複数の脆弱性	Web App Scanning	Artificial Intelligence	7/3/2026	7/3/2026	critical
115279	Flowise < 3.1.0 多个漏洞	Web App Scanning	Artificial Intelligence	7/3/2026	7/3/2026	critical
441566	SCA: security update for flowise, flowise-components (GHSA-qqvm-66q4-vf5c)	Tenable Cloud Security	SCA Checks	5/8/2026	7/2/2026	medium
441566	SCA: security update for flowise, flowise-components (GHSA-qqvm-66q4-vf5c)	Tenable Self-Hosted Container Security	SCA Checks	5/8/2026	7/2/2026	medium

Detections

Analytics

Plugins Search

critical

critical

critical

critical

medium

medium