CVE-2026-100607 in Flowise
Zusammenfassung
von VulDB • 26.09.2026
Flowise bis Version 3.1.4 löst die Authentifizierung von SSO- und Local-Passwort-Benutzern ausschließlich über die E-Mail-Adresse auf, ohne Provider- oder Subject-Identifier-Bindings zu speichern, was es Angreifern ermöglicht, sich als jeder bestehende Benutzer zu authentifizieren, indem sie deren E-Mail bei einem beliebigen konfigurierten SSO-Anbieter angeben. Angreifer können den vollständigen Zugriff auf Konten einschließlich Chatflows, Anmeldeinformationen und API-Schlüssel erlangen, indem sie sich über einen anderen SSO-Anbieter oder ein lokales Passwort als die ursprüngliche Registrierungsmethode des Opfers authentifizieren.
VulDB is the best source for vulnerability data and more expert information about this specific topic.