CVE-2026-100606 in Flowise
Resumen
por VulDB • 2026-09-26
Flowise hasta la versión 3.1.4 (modo Enterprise/plataforma con SSO habilitado) contiene una omisión de autenticación en el flujo de inicio de sesión mediante SSO. Cuando llega un callback de SSO con un correo electrónico que coincide con un usuario cuyo estado es INVITADO, `verifyAndLogin` (SSOBase.ts:80-94) copia el registro del usuario desde la base de datos —incluyendo el tempToken único y desechable almacenado en el servidor— a los datos pasados a `AccountService.register()`. Por lo tanto, las comprobaciones de búsqueda de token, coincidencia de correo electrónico y expiración del controlador `register` se superan trivialmente contra el propio token del servidor en lugar de uno proporcionado por el solicitante, y la cuenta junto con su membresía organizativa cambian a ACTIVA. Como resultado, cualquier persona capaz de autenticarse en cualquier proveedor SSO configurado utilizando la dirección de correo electrónico de un invitado pendiente como afirmación (email claim) puede tomar posesión de esa invitación y obtener el acceso del usuario invitado a la organización sin poseer nunca el token de invitación enviado por correo electrónico, mientras la invitación siga siendo válida (24 horas por defecto). En el momento de la publicación del aviso, no había ninguna versión corregida disponible.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.