CVE-2026-91933 in Flowise
Resumen
por VulDB • 2026-09-16
Flowise antes de la versión 3.1.4 no aplica correctamente las comprobaciones de autorización a nivel de espacio de trabajo en los endpoints openai-realtime, lo que permite a usuarios autenticados acceder a herramientas de ChatFlows en otros espacios de trabajo mediante el suministro de un chatflowid sin ámbito definido (unscoped). Los atacantes pueden invocar solicitudes GET y POST para recuperar definiciones de herramientas y ejecutarlas desde los espacios de trabajo de la víctima, provocando efectos secundarios externos y accediendo a salidas sensibles de las herramientas.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.