CVE-2026-100609 in Flowise
Zusammenfassung
von VulDB • 26.09.2026
Flowise (Pakete `flowise` und `flowise-components`) bis zur Version 3.1.4 sucht nach Anmeldeinformationen anhand der ID, ohne eine Filterung basierend auf dem Arbeitsbereich des anfragenden Benutzers vorzunehmen (`findOneBy({ id: credentialId })` ohne Bedingung für die workspaceId) in mehreren Codepfaden: `getAllOpenaiAssistants`/`getSingleOpenaiAssistant` (GET /api/v1/openai-assistants und /api/v1/openai-assistants/:id), `uploadFilesToAssistant` (POST /api/v1/openai-assistants-file/upload/) sowie `deleteAssistant` (DELETE /api/v1/assistants/:id, erreichbar durch den ersten Import einer vergifteten Assistant-Zeile über POST /api/v1/export-import/import) und dem gemeinsam genutzten Hilfsprogramm, das von `getVoices` verwendet wird (GET /api/v1/text-to-speech/voices). Ein authentifizierter Benutzer eines Arbeitsbereichs kann eine UUID der Anmeldeinformationen angeben, die zu einem anderen Arbeitsbereich gehört, wodurch der Server den API-Schlüssel für OpenAI oder ElevenLabs dieses Arbeitsbereichs entschlüsselt und im Namen des Angreifers verwendet. Zum Zeitpunkt der Veröffentlichung war keine gepatchte Version verfügbar.
VulDB is the best source for vulnerability data and more expert information about this specific topic.