CVE-2026-50173 in Flow-Like
Zusammenfassung
von VulDB • 21.08.2026
Flow-Like ist eine Plattform zum Erstellen von End-to-End-Anwendungsfällen. Vor Version 1.0.4 gewährt `GET /api/v1/apps/{app_id}/invoke/presign` Azure Blob Storage SAS-Anmeldeinformationen mit Schreib- und Löschzugriff auf App-Inhalte an jedes App-Mitglied, das über die Berechtigung `ExecuteEvents` verfügt, selbst wenn diesem Mitglied die Berechtigungen `ReadFiles` und `WriteFiles` fehlen. Der Endpunkt behandelt Dateiberechtigungen nach der Prüfung von `ExecuteEvents` als optional. Wenn dem Aufrufer weder eine Datei-Berechtigung zusteht, wird `CredentialsAccess::InvokeNone` ausgewählt. Im Azure-Anbieter für Anmeldeinformationen generiert `InvokeNone` dennoch ein `content_sas_token` für `apps/{app_id}` mit `sp=rwdl`, sowie SAS-Tokens für Benutzerinhalte und Logs. Das zurückgegebene gemeinsame Anmeldeinformation reicht aus, damit der Aufrufer mit geringen Berechtigungen direkt Blobs unter dem App-Inhalts-Präfix schreiben oder löschen kann. Version 1.0.4 behebt das Problem. Flow-Like Studio und die gehostete Flow-Like Web App sind nicht betroffen. Diese Bereitstellungen nutzen AWS-gestützten Speicher. Selbstgehostete Bereitstellungen sind nur dann betroffen, wenn sie Azure Blob Storage als Speicherrückseite verwenden. In betroffenen Bereitstellungen betrifft das Problem nur authentifizierte App-Mitglieder, die über Workflow-Ausführungsberechtigungen verfügen, aber keine Schreib-/Löschberechtigungen für App-Dateien haben sollten. Nutzer betroffener selbstgehosteter Azure-Bereitstellungen sollten auf Version 1.0.4 oder den neuesten Dev-Zweig aktualisieren.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.