CVE-2026-100607 in Flowise
요약
\~에 의해 VulDB • 2026. 09. 26.
Flowise 3.1.4 이전 버전은 SSO 및 로컬 비밀번호 사용자를 이메일만으로 식별하며 공급자 또는 주제(ID) 바인딩을 저장하지 않으므로, 공격자가 구성된 모든 SSO 제공업체에서 피해자의 이메일 주장을 통해 기존 사용자 중 누구라도 인증할 수 있습니다. 이를 통해 공격자는 원래 등록 방식과 다른 SSO 제공업체나 로컬 비밀번호를 사용하여 인증함으로써 채팅 플로우(chatflows), 자격 증명(credential) 및 API 키를 포함한 계정에 대한 완전한 접근 권한을 획득할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.