CVE-2026-90534 in Flowise
Résumé
par VulDB • 12/09/2026
Flowise est une plateforme low-code pour la création d'applications LLM. Dans les versions jusqu'à et y compris la 3.1.3, le point de terminaison POST /api/v1/node-load-method/:name est monté sans aucune vérification des autorisations au niveau du routeur et invoque loadMethods avec un nodeName contrôlé par l'attaquant, ainsi que des valeurs pour loadMethod, inputs et credential (identifiants). L'identifiant brut de Credential.id est utilisé via getCredentialData() pour résoudre les identifiants sélectionnés, qui sont ensuite déchiffrés sans vérifier si le workspaceId du Credential correspond au workspace actif ou partagé de l'appelant, contrairement aux autres chemins de lecture des identifiants qui sont limités au scope d'un workspace. Par conséquent, un utilisateur authentifié à faible privilège (ou une clé API de workspace) dans un workspace peut fournir un ID d'identifiant appartenant à un autre workspace et amener Flowise à agir en tant que « confused deputy » (député confus), effectuant des appels auprès du fournisseur tiers avec les identifiants du workspace victime et renvoyant les métadonnées du fournisseur à l'attaquant. Les méthodes de chargement statiquement identifiées comme affectées incluent listFiles pour Google Drive, listSpreadsheets pour Google Sheets et listTables pour AWS DynamoDB KV Storage. Le secret brut des identifiants n'est pas retourné à l'attaquant. Ce problème est corrigé dans la version 3.1.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.