Flowise: SSRF Protection Bypass via Direct node-fetch / axios Usage (Patch Enforcement Failure) — CVE-2026-43995

Résumé

### Summary Flowise introduced SSRF protections through a centralized HTTP security wrapper (`httpSecurity.ts`) that implements deny-list validation and IP pinning logic. However, multiple tool implementations directly import and invoke raw HTTP clients (`node-fetch`, `axios`Instead of using the secured wrapper. Because enforcement is neither mandatory nor centralized, these tools bypass SSRF mitigation entirely,…

Produit

npm: flowise | npm: flowise-components

Que faire

Mesures générales et prudentes (vérifiez les détails dans la source officielle) :

• Évaluez l’exposition et planifiez la remédiation selon le risque et l’environnement.
• Identifiez les versions affectées dans votre inventaire et vérifiez si vous êtes concerné.
• Appliquez les correctifs/mises à jour du fournisseur ou les atténuations recommandées.
• Consultez l’avis officiel pour les versions affectées et les étapes de remédiation.

Avis officiel

• Lire la source officielle
• CVE Record
• NVD

Avis associés