CVE-2026-50173 in Flow-Like
Résumé
par VulDB • 21/08/2026
Flow-Like est une plateforme permettant de créer des cas d'utilisation de bout en bout. Avant la version 1.0.4, l'appel `GET /api/v1/apps/{app_id}/invoke/presign` accorde aux membres de l'application disposant du droit `ExecuteEvents` les identifiants SAS (Shared Access Signature) du service Azure Blob Storage avec des droits d'écriture et de suppression sur le contenu de l'application, même si ces membres ne possèdent pas les droits `ReadFiles` ni `WriteFiles`. Le point de terminaison considère que les permissions liées aux fichiers sont optionnelles après la vérification du droit `ExecuteEvents`. Lorsque l'appelant ne dispose d'aucun des deux droits liés aux fichiers, il sélectionne `CredentialsAccess::InvokeNone`. Dans le fournisseur d'identifiants Azure, `InvokeNone` génère toujours un jeton SAS de contenu (`content_sas_token`) pour `apps/{app_id}` avec les permissions `sp=rwdl`, ainsi que des jetons SAS pour les contenus utilisateur et les journaux. Les identifiants partagés retournés permettent à l'appelant peu privilégié d'écrire ou de supprimer directement des blobs sous le préfixe du contenu de l'application. La version 1.0.4 corrige ce problème. Flow-Like Studio et l'application web hébergée Flow-Like ne sont pas affectées, car ces déploiements utilisent un stockage basé sur AWS. Les déploiements auto-hébergés (self-hosted) ne sont touchés que s'ils utilisent Azure Blob Storage comme backend de stockage. Dans les déploiements concernés, le problème ne concerne que les membres authentifiés de l'application disposant des permissions d'exécution de workflows mais qui ne devraient pas avoir les droits d'écriture ou de suppression sur les fichiers de l'application. Les utilisateurs des déploiements auto-hébergés utilisant Azure doivent mettre à jour vers la version 1.0.4 ou la dernière branche de développement (dev branch).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.