CVE-2026-90534 in Flowise
要約
〜によって VulDB • 2026年09月12日
Flowiseは、LLMアプリケーションを構築するためのローコードプラットフォームです。バージョン3.1.3以前において、POST /api/v1/node-load-method/:nameエンドポイントにはルートレベルの権限チェックが実装されておらず、攻撃者が制御可能なnodeName、loadMethod、inputs、およびcredential値を使用してコンポーネントのloadMethodsを呼び出すことができます。選択された資格情報は、getCredentialData()によってrawなCredential.idで解決され、他の資格情報読み取りパスがワークスペーススコープであるのとは対照的に、Credential.workspaceIdが呼び出し元のアクティブまたは共有されているワークスペースと照合されることなく復号されます。その結果、あるワークスペースに属する認証済み低権限ユーザー（またはワークスペースAPIキー）は、別のワークスペース所有のcredential IDを指定し、Flowiseを混乱した代行者として機能させて、被害者ワークスペースの資格情報を使用して第三者プロバイダへの呼び出しを実行し、攻撃者にプロバイダメタデータを返すことができます。静的に特定された影響を受けるload methodには、Google Drive listFiles、Google Sheets listSpreadsheets、およびAWS DynamoDB KV Storage listTablesが含まれます。rawなcredential secret自体は攻撃者に戻されません。この問題はバージョン3.1.4で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.