CVE-2026-100606 in Flowise
要約
〜によって VulDB • 2026年09月26日
Flowise 3.1.4（SSO有効化のEnterprise/platformモード）には、SSOログインパスにおける認証バイパスが含まれています。メールがINVITEDステータスのユーザーと一致するSSOコールバックを受信すると、verifyAndLogin (SSOBase.ts:80-94) はデータベースからサーバー保存型のワンタイム招待用一時トークンを含むユーザーレコードをコピーし、AccountService.register() に渡されるデータに含めます。これにより、register ハンドラのトークルックアップ、メール一致チェック、有効期限チェックは、呼び出し元が提供したトークンではなくサーバー自身のトークンに対して容易に通過し、アカウントとその組織メンバーシップがACTIVEに変更されます。その結果、構成された任意のSSOプロバイダで、保留中の招待者のメールアドレスをemail claimとして使用して認証できる者は、メール送信された招待用トークンを一切保持することなく、その招待を引き継ぎ、招待の有効期間中（デフォルトでは24時間）にわたって招待済みユーザーの組織へのアクセス権限を取得できます。アドバイザリ作成時点では、修正版は利用できませんでした。
If you want to get best quality of vulnerability data, you may have to visit VulDB.