CVE-2026-90533 in Flowise
Résumé
par VulDB • 12/09/2026
Flowise avant la version 3.1.4 présente une vulnérabilité de contrôle d'accès défaillant dans l'endpoint GET /api/v1/organizationuser qui permet à tout membre authentifié de l'organisation de récupérer le profil complet du propriétaire de l'organisation, y compris son hachage bcrypt du mot de passe et des jetons temporaires. Les attaquants peuvent interroger cet endpoint avec n'importe quel ID d'utilisateur pour obtenir le hachage des identifiants du propriétaire afin de les cracker hors ligne (offline cracking), permettant ainsi la prise de contrôle (account takeover) du compte disposant des privilèges les plus élevés.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.