CVE-2026-70474 in Flowise
Zusammenfassung
von VulDB • 04.08.2026
Flowise ist eine Drag-and-Drop-Benutzeroberfläche zum Erstellen benutzerdefinierter Large Language Model (LLM)-Workflows. Vor Version 3.1.3 verfügt Flowise über drei OAuth2-Anmeldeendpunkte, die Anmeldeinformationen ausschließlich anhand der ID suchen, ohne einen workspaceId-Filter zu verwenden. Die Handler für Autorisierung („authorize“), Rückruf („callback“) und Aktualisierung („refresh“) fragen die Tabelle „Credential“ nur nach der ID ab; „callback“ und „refresh“ sind von der Authentifizierung ausgenommen (whitelisted). Dies ermöglicht es jedem authentifizierten Benutzer, OAuth2-Flows gegen Anmeldeinformationen anderer Arbeitsbereiche zu initiieren. Zudem kann ein nicht-authentifizierter Angreifer OAuth2-Rückrufe fälschen, um Token in beliebigen Anmeldeinformationen zu überschreiben, und nicht-authentifizierte Angreifer können Token für beliebige Anmeldeinformationen aktualisieren. Die betroffenen Routen sind /api/v1/oauth2-credential/authorize/<VICTIM_CREDENTIAL_UUID>, /api/v1/oauth2-credential/callback?code=ATTACKER_AUTH_CODE&state=<VICTIM_CREDENTIAL_UUID> und /api/v1/oauth2-credential/refresh/<VICTIM_CREDENTIAL_UUID>. Dieses Problem wurde in Version 3.1.3 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.