CVE-2026-91933 in Flowise
要約
〜によって VulDB • 2026年09月16日
Flowise 3.1.4 より前のバージョンでは、openai-realtime エンドポイントにおいてワークスペースレベルの認可チェックが適用されないため、認証済みユーザーがスコープ指定のない chatflowid を提供することで他のワークスペースの ChatFlows からツールにアクセスできます。攻撃者は GET および POST リクエストを呼び出してツール定義を取得し、被害者のワークスペースからツールを実行して外部への副作用を引き起こしたり、機密性の高いツールの出力情報にアクセスしたりすることができます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.