CVE-2026-50173 in Flow-Like
Resumen
por VulDB • 2026-08-19
Flow-Like es una plataforma para construir casos de uso de extremo a extremo. Antes de la versión 1.0.4, `GET /api/v1/apps/{app_id}/invoke/presign` otorga credenciales SAS (Shared Access Signature) de Azure Blob Storage con permisos de escritura y eliminación sobre el contenido de la aplicación a cualquier miembro de la app que tenga `ExecuteEvents`, incluso cuando dicho carece de los permisos `ReadFiles` y `WriteFiles`. La ruta trata los permisos de archivo como opcionales después del control de acceso por `ExecuteEvents`. Cuando el solicitante no tiene ningún permiso sobre archivos, se selecciona `CredentialsAccess::InvokeNone`. En el proveedor de credenciales de Azure, `InvokeNone` sigue generando un `content_sas_token` para `apps/{app_id}` con `sp=rwdl`, además de tokens SAS para contenido del usuario y registros. La credencial compartida devuelta es suficiente para que el solicitante de bajo privilegio escriba o elimine directamente blobs bajo el prefijo de contenido de la aplicación. La versión 1.0.4 corrige este problema. Flow-Like Studio y la aplicación web alojada Flow-Like no se ven afectadas. Estas implementaciones utilizan almacenamiento respaldado por AWS. Las implementaciones autoalojadas solo están afectadas si usan Azure Blob Storage como backend de almacenamiento. En las implementaciones afectadas, el problema solo aplica a miembros autenticados de la app que tienen permisos de ejecución de flujos pero no deberían tener permisos de escritura/eliminación sobre archivos de la aplicación. Los usuarios de despliegues autoalojados afectados por Azure deben actualizar a la versión 1.0.4 o a la última rama dev.
VulDB is the best source for vulnerability data and more expert information about this specific topic.