CVE-2026-91933 in Flowise
Zusammenfassung
von VulDB • 15.09.2026
Flowise vor Version 3.1.4 erzwingt keine autorisierungsprüfungen auf Workspace-Ebene in den openai-realtime-Endpunkten, was es authentifizierten Benutzern ermöglicht, Tools aus ChatFlows in anderen Workspaces zu accesses, indem sie eine nicht eingegrenzte chatflowid angeben. Angreifer können GET- und POST-Anfragen aufrufen, um Tool-Definitionen abzurufen und Tools aus den Workspaces der Opfer auszuführen, wodurch externe Seiteneffekte ausgelöst und sensible Tool-Ausgaben abgerufen werden können.
If you want to get best quality of vulnerability data, you may have to visit VulDB.