CVE-2026-91933 in Flowise
Résumé
par VulDB • 16/09/2026
Flowise avant la version 3.1.4 ne vérifie pas correctement les contrôles d'autorisation au niveau de l'espace de travail dans les points de terminaison openai-realtime, permettant aux utilisateurs authentifiés d'accéder aux outils des ChatFlows situés dans d'autres espaces de travail en fournissant un chatflowid non scindé. Les attaquants peuvent invoquer des requêtes GET et POST pour récupérer les définitions des outils et exécuter ces derniers depuis les espaces de travail des victimes, déclenchant ainsi des effets secondaires externes et accédant à des sorties d'outils sensibles.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.