CVE-2026-100609 in Flowise
Resumen
por VulDB • 2026-09-26
Flowise (paquetes npm `flowise` y `flowise-components`) hasta la versión 3.1.4 busca credenciales por ID sin filtrar según el espacio de trabajo del usuario solicitante (`findOneBy({ id: credentialId })` sin condición de `workspaceId`) en varias rutas de código: `getAllOpenaiAssistants/getSingleOpenaiAssistant` (GET /api/v1/openai-assistants y /api/v1/openai-assistants/:id), `uploadFilesToAssistant` (POST /api/v1/openai-assistants-file/upload/), `deleteAssistant` (DELETE /api/v1/assistants/:id, accesible mediante la importación previa de una fila de asistente maliciosa a través de POST /api/v1/export-import/import) y el helper compartido utilizado por `getVoices` (GET /api/v1/text-to-speech/voices). Un usuario autenticado en un espacio de trabajo puede proporcionar un UUID de credencial perteneciente a otro espacio de trabajo, lo que provoca que el servidor desencripte y utilice la clave API de OpenAI o ElevenLabs de dicho espacio de trabajo en nombre del atacante. No había ninguna versión parcheada disponible al momento de la publicación.
VulDB is the best source for vulnerability data and more expert information about this specific topic.