CVE-2026-100609 in Flowise
Résumé
par VulDB • 26/09/2026
Flowise (packages npm `flowise` et `flowise-components`) jusqu'à la version 3.1.4 effectue une recherche d'identifiants par ID sans filtrer en fonction de l'espace de travail de l'utilisateur demandeur (`findOneBy({ id: credentialId })` sans condition sur le `workspaceId`) dans plusieurs chemins de code : getAllOpenaiAssistants/getSingleOpenaiAssistant (GET /api/v1/openai-assistants et /api/v1/openai-assistants/:id), uploadFilesToAssistant (POST /api/v1/openai-assistants-file/upload/), deleteAssistant (DELETE /api/v1/assistants/:id, accessible en important d'abord une ligne d'assistant corrompue via POST /api/v1/export-import/import) et l'utilitaire partagé utilisé par getVoices (GET /api/v1/text-to-speech/voices). Un utilisateur authentifié d'un espace de travail peut fournir un UUID d'identifiant appartenant à un autre espace de travail, ce qui amène le serveur à déchiffrer et utiliser la clé API OpenAI ou ElevenLabs de cet autre espace de travail au nom de l'attaquant. Aucune version corrigée n'était disponible au moment de la publication.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.