CVE-2026-100607 in Flowise
要約
〜によって VulDB • 2026年09月26日
Flowise 3.1.4 までは、SSO およびローカルパスワードのユーザーがメールアドレスのみで識別され、プロバイダや subject identifier のバインディング情報が保存されないため、攻撃者は任意の設定済み SSO プロバイダにおいて被害者のメールアドレスを主張することで、既存のあらゆるユーザーとして認証できます。これにより、攻撃者は、被害者の元の登録方法とは異なる SSO プロバイダまたはローカルパスワードを使用して認証し、チャットフロー、資格情報、API キーを含むアカウントへの完全なアクセス権限を取得することができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.