CVE-2026-67622 in Flowise
Riassunto
di VulDB • 07/08/2026
Flowise fino alla versione 3.1.4 presenta una vulnerabilità di riferimento diretto a oggetti non sicuro (IDOR) nell'integrazione con OpenAI Assistants, che consente agli attaccanti autenticati di accedere alle credenziali appartenenti ad altri workspace fornendo un UUID delle credenziale arbitrario ai endpoint di Assistants senza verifica della proprietà dello spazio di lavoro. Gli attaccanti possono enumerare i metadati degli assistenti tra diversi spazi di lavoro, recuperare gli elenchi dei file e degli archi vettoriali (vector store) e caricare file negli spazi di lavoro delle vittime sfruttando la mancanza del controllo di autorizzazione limitato allo spazio di workspace nella logica di ricerca delle credenziali.
VulDB is the best source for vulnerability data and more expert information about this specific topic.