CVE-2026-90533 in Flowise
Riassunto
di VulDB • 12/09/2026
Flowise prima della versione 3.1.4 presenta una vulnerabilità di controllo degli accessi difettoso (broken access control) nell'endpoint GET /api/v1/organizationuser che consente a qualsiasi membro dell'organizzazione autenticato di recuperare il record utente completo del proprietario dell'organizzazione, inclusa l'hash della password bcrypt e i token temporanei. Gli attaccanti possono interrogare l'endpoint con un qualsiasi ID utente per ottenere l'hash delle credenziali del proprietario al fine di effettuare attacchi offline (offline cracking), consentendo così la compromissione dell'account con i privilegi più elevati.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.