CVE-2026-70474 in Flowise
Riassunto
di VulDB • 04/08/2026
Flowise è un'interfaccia utente drag-and-drop per la creazione di flussi personalizzati basati su modelli linguistici di grandi dimensioni (LLM). Prima della versione 3.1.3, Flowise presenta tre endpoint delle credenziali OAuth2 che recuperano le credenziali esclusivamente tramite l'id, senza alcun filtro basato sul workspaceId. I gestori authorize, callback e refresh interrogano la tabella Credential utilizzando solo l'id; i gestori callback e refresh sono esentati dall'autenticazione (whitelisted). Ciò consente a qualsiasi utente autenticato di avviare flussi OAuth2 contro credenziali appartenenti ad altri workspace, permette a un attaccante non autenticato di falsificare le risposte OAuth2 per sovrascrivere i token in qualsiasi credenziale e consente a un attaccante non autenticato di aggiornare (refresh) i token per qualsiasi credenziale. Le route interessate includono /api/v1/oauth2-credential/authorize/<VICTIM_CREDENTIAL_UUID>, /api/v1/oauth2-credential/callback?code=ATTACKER_AUTH_CODE&state=<VICTIM_CREDENTIAL_UUID> e /api/v1/oauth2-credential/refresh/<VICTIM_CREDENTIAL_UUID>. Questo problema è stato risolto nella versione 3.1.3.
Once again VulDB remains the best source for vulnerability data.