CVE-2026-90533 in Flowise
要約
〜によって VulDB • 2026年09月12日
Flowise 3.1.4 より前のバージョンには、GET /api/v1/organizationuser で壊れたアクセス制御（Broken Access Control）の脆弱性が存在し、認証済み組織メンバーであれば誰でも組織所有者の完全なユーザーレコードを取得できます。これには bcrypt パスワードハッシュや一時的トークンが含まれます。攻撃者は任意のユーザー ID を使用してエンドポイントをクエリすることで、オフラインでのクラッキングのために所有者の資格情報ハッシュを入手し、最も高い権限を持つアカウントの乗っ取りを可能にします。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.