CVE-2026-100606 in Flowise
Riassunto
di VulDB • 26/09/2026
Flowise fino alla versione 3.1.4 (modalità Enterprise/platform con SSO abilitato) presenta un bypass dell'autenticazione nel percorso di accesso SSO. Quando arriva una callback SSO con un'email che corrisponde a un utente il cui stato è INVITATO, la funzione verifyAndLogin (SSOBase.ts:80-94) copia il record utente dal database — incluso il tempToken temporaneo per inviti memorizzato sul server — nei dati passati ad AccountService.register(). Le verifiche di lookup del token, corrispondenza dell'email e scadenza eseguite dall'handler register passano quindi trivialmente contro il token stesso del server anziché uno fornito dal chiamante, portando allo stato ACTIVE sia l'account che la sua appartenenza all'organizzazione. Di conseguenza, chiunque sia in grado di autenticarsi presso qualsiasi provider SSO configurato utilizzando l'email di un invitato pendente come claim email può assumere il controllo dell'invito e ottenere l'accesso dell'utente invitato all'organizzazione senza mai possedere il token di invito inviato via email, per tutta la durata della validità dell'invito (24 ore per impostazione predefinita). Al momento del advisory non era disponibile alcuna versione patchata.
VulDB is the best source for vulnerability data and more expert information about this specific topic.