JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-019591 Flowiseはカスタマイズされた大規模言語モデルのフローを構築するためのドラッグ＆ドロップユーザーインターフェースです。バージョン3.1.2以前のFlowiseAIの変数更新エンドポイントにはマスアサインメントの脆弱性が存在しました。このエンドポイントは認証されたユーザーが変数リソースを更新する際に、workspaceId、createdDate、updatedDateなどのサーバー管理プロパティを変更できました。サーバー側で検証および認可チェックが行われていなかったため、攻撃者はworkspaceIdフィールドを操作して変数を任意のワークスペースに再割り当てできます。この挙動はマルチワークスペース環境におけるテナント分離を破壊する可能性があります。この問題はバージョン3.1.2で修正されました。 cpe:/a:flowiseai:flowise https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-019591.html Common Vulnerabilities and Exposures (CVE) CVE-2026-42861 https://www.cve.org/CVERecord?id=CVE-2026-42861 National Vulnerability Database (NVD) CVE-2026-42861 https://nvd.nist.gov/vuln/detail/CVE-2026-42861 GitHub Mass Assignment in Variable Update Endpoint Allows Cross-Workspace Resource Reassignment Advisory FlowiseAI/Flowise GitHub https://github.com/FlowiseAI/Flowise/security/advisories/GHSA-6fw7-3q8r-m5vj JVNDB CWE-284 https://cwe.mitre.org/data/definitions/284.html JVNDB CWE-639 https://cwe.mitre.org/data/definitions/639.html JVNDB CWE-915 https://cwe.mitre.org/data/definitions/915.html 関連文書 Release flowise@3.1.2 FlowiseAI/Flowise GitHub https://github.com/FlowiseAI/Flowise/releases/tag/flowise%403.1.2 2026-06-12T14:52:57+09:00 2026-06-12T14:52:57+09:00