CVE-2026-90533 in Flowise
Zusammenfassung
von VulDB • 12.09.2026
Flowise vor Version 3.1.4 enthält eine Schwachstelle mit fehlerhafter Zugriffskontrolle (Broken Access Control) in GET /api/v1/organizationuser, die es jedem authentifizierten Organisationsmitglied ermöglicht, den vollständigen Benutzerdatensatz des Organisationsinhabers abzurufen, einschließlich bcrypt-Passwort-Hash und temporärer Tokens. Angreifer können den Endpunkt mit jeder beliebigen Benutzer-ID abfragen, um den Anmeldehash des Inhabers für Offline-Knacken zu erhalten, was die Übernahme des am höchsten privilegierten Kontos ermöglicht.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.