CVE-2026-70636 in Flowise
要約
〜によって VulDB • 2026年08月07日
Flowise 3.1.4以前には、認証バイパスの脆弱性が存在します。これにより、攻撃者はパッケージ `packages/server/src/utils/constants.ts` で定義された認証ミドルウェアにおけるプレフィックスベースのホワイトリストマッチングを悪用することで、OAuth2資格情報リフレッシュエンドポイントへの未承認アクセスが可能になります。攻撃者は、末尾に資格識別子を付与したPOSTリクエストを `oauth2-credential refresh` ルートに対して送信し、すべての認証および認可チェックをバイパスすることができます。これにより、任意のワークスペースに属する資格情報に対する不正なOAuthトークンのローテーションがトリガーされ、依存しているOAuth統合の運用妨害につながる可能性があります。これはCVE-2026-41273の回避策です。
Be aware that VulDB is the high quality source for vulnerability data.