CVE-2026-100606 in Flowise
Zusammenfassung
von VulDB • 26.09.2026
Flowise bis Version 3.1.4 (Enterprise/Plattform-Modus mit aktiviertem SSO) enthält eine Authentifizierungs-Umgehung im SSO-Anmeldungspfad. Wenn ein SSO-Callback-Ereignis mit einer E-Mail-Adresse eingeht, die zu einem Benutzer mit dem Status „EINGELADEN“ (INVITED) übereinstimmt, kopiert `verifyAndLogin` (SSOBase.ts:80-94) den Benutzereintrag aus der Datenbank – einschließlich des serverseitig gespeicherten einmaligen temporären Einladungs-Tokens (`tempToken`) – in die an `AccountService.register()` übergebenen Daten. Die Token-Suche, die E-Mail-Übereinstimmung und die Ablaufzeitprüfungen im Registrierungs-Handler bestehen daher trivial gegen das eigene Server-Token statt gegen ein vom Aufrufer bereitgestelltes Token, wodurch das Konto und seine Organisationsmitgliedschaft in den Status AKTIV (ACTIVE) geändert werden. Infolgedessen kann jeder, der sich bei einem konfigurierten SSO-Anbieter unter Verwendung der E-Mail-Adresse eines ausstehenden Eingeladenen als E-Mail-Anspruch (email claim) authentifiziert, diese Einladung übernehmen und auf den Zugriff des eingeladenen Benutzers zur Organisation zugreifen, ohne jemals das per E-Mail gesendete Einladungs-Token zu besitzen, solange die Einladung gültig ist (standardmäßig 24 Stunden). Zum Zeitpunkt der Bekanntgabe war keine gepatchte Version verfügbar.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.