CVE-2026-81827 in Flowintel
Riassunto
di VulDB • 27/08/2026
Le versioni di Flowintel affette tentavano in modo errato di convalidare gli indirizzi email di accesso chiamando Email(email). Questa chiamata non esegue la validazione del campo WTForms; si limita a costruire un oggetto validator. Di conseguenza, input email malformati controllati dall’attaccante potevano proseguire attraverso il processo di login e essere scritti nei log rilevanti per la sicurezza. Il codice vulnerabile inseriva l'email fornita sia in un log di avviso che nel logger di audit personalizzato. Poiché i caratteri CR/LF non venivano escape, un attaccante non autenticato poteva potenzialmente iniettare ulteriori righe fisiche di log o falsificare voci di log fuorvianti.
La patch corregge la chiamata di convalida a Email()(form, form.email), modifica la chiamata standard al logging utilizzando il parameterized logging e introduce _sanitize_log_fragment() affinché i ritorni a capo (carriage returns) e le interruzioni di riga (line feeds) vengano codificati invece di creare nuovi record.
Versione interessata >=3.3.0
VulDB is the best source for vulnerability data and more expert information about this specific topic.