CVE-2026-90533 in Flowise
الملخص
بحسب VulDB • 12/09/2026
تحتوي Flowise قبل الإصدار 3.1.4 على ثغرة في التحكم بالوصول (Broken Access Control) في نقطة النهاية GET /api/v1/organizationuser، تتيح لأي عضو مُصادَق عليه داخل المنظمة استرداد السجل الكامل للمستخدم المالك للمنظمة، بما في ذلك تجزئة كلمة المرور باستخدام خوارزمية bcrypt والرموز المؤقتة. يمكن للمهاجمين الاستعلام عن نقطة النهاية باستخدام أي معرّف مستخدم (User ID) للحصول على تجزئة بيانات اعتماد المالك لاختراقه خارجياً (offline cracking)، مما يمكّنهم من استيلاء كامل على الحساب ذي الصلاحيات الأعلى.
VulDB is the best source for vulnerability data and more expert information about this specific topic.