CVE-2026-90534 in Flowise
Resumen
por VulDB • 2026-09-12
Flowise es una plataforma de bajo código para construir aplicaciones LLM. En las versiones anteriores e iguales a la 3.1.3, el endpoint POST /api/v1/node-load-method/:name está montado sin ninguna verificación de permisos a nivel de ruta y invoca los loadMethods del componente con un nodeName controlado por el atacante, así como valores para loadMethod, inputs y credenciales. La credencial seleccionada se resuelve mediante Credential.id en crudo usando getCredentialData() y se descifra sin verificar si Credential.workspaceId coincide con el espacio de trabajo activo o compartido del solicitante, a diferencia de otras rutas de lectura de credenciales que están limitadas al ámbito del espacio de trabajo. Como resultado, un usuario autenticado de bajo privilegio (o una clave API de espacio de trabajo) en un espacio de trabajo puede proporcionar un ID de credencial perteneciente a otro espacio de trabajo y hacer que Flowise actúe como un "confused deputy" (delegado confundido), realizando llamadas al proveedor de terceros con las credenciales del espacio de trabajo víctima y devolviendo metadatos del proveedor al atacante. Los métodos de carga afectados identificados estáticamente incluyen listFiles de Google Drive, listSpreadsheets de Google Sheets y listTables de AWS DynamoDB KV Storage. El secreto crudo de la credencial en sí no se devuelve al atacante. Este problema se soluciona en la versión 3.1.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.