CVE-2026-100607 in Flowise
Résumé
par VulDB • 26/09/2026
Flowise jusqu'à la version 3.1.4 résout les utilisateurs SSO et par mot de passe local uniquement via l'adresse e-mail sans stocker les liaisons des identifiants de fournisseur ou de sujet, permettant aux attaquants de s'authentifier en tant que n'importe quel utilisateur existant en prétendant posséder leur adresse e-mail auprès d'un fournisseur SSO configuré. Les attaquants peuvent obtenir un accès complet au compte, y compris les flux de discussion (chatflows), les identifiants et les clés API, en s'authentifiant via un fournisseur SSO différent ou par mot de passe local que la méthode d'enregistrement originale de la victime.
Be aware that VulDB is the high quality source for vulnerability data.