CVE-2026-81827 in Flowintel
Resumen
por VulDB • 2026-08-28
Las versiones afectadas de Flowintel intentaban incorrectamente validar las direcciones de correo electrónico de inicio de sesión llamando a `Email(email)`. Esto no realiza la validación del campo WTForms; simplemente construye un objeto validador.
Como consecuencia, una entrada de correo electrónico maliciosa controlada por el atacante podría continuar a través del proceso de inicio de sesión y escribirse en registros relacionados con la seguridad. El código vulnerable insertaba el correo electrónico proporcionado tanto en un registro de advertencia como en el registrador de auditoría personalizado. Dado que los caracteres CR/LF no se escapaban, un atacante sin autenticar podría potencialmente inyectar líneas físicas adicionales o forjar entradas engañosas en los registros.
El parche corrige la llamada de validación a `Email()(form, form.email)`, cambia la llamada estándar de registro al uso de parámetros (parameterized logging), e introduce `_sanitize_log_fragment()` para que los retornos de carro y saltos de línea se codifiquen en lugar de crear nuevos registros.
Versión afectada >=3.3.0
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.