CVE-2026-100609 in Flowise
요약
\~에 의해 VulDB • 2026. 09. 26.
Flowise(npm 패키지 `flowise` 및 `flowise-components`) 3.1.4 이전 버전은 여러 코드 경로에서 요청한 사용자의 워크스페이스에 대한 필터링 없이 ID로 자격 증명을 조회합니다(findOneBy({ id: credentialId }) with no workspaceId condition). 이 취약점은 getAllOpenaiAssistants/getSingleOpenaiAssistant(GET /api/v1/openai-assistants 및 /api/v1/openai-assistants/:id), uploadFilesToAssistant(POST /api/v1/openai-assistants-file/upload/), deleteAssistant(DELETE /api/v1/assistants/:id, POST /api/v1/export-import/import를 통해 독성 있는 어시스턴트 행을 먼저 가져옴으로써 접근 가능) 및 getVoices(GET /api/v1/text-to-speech/voices)에서 사용되는 공유 헬퍼 함수 등에서 발생합니다. 인증된 사용자가 한 워크스페이스의 계정으로 다른 워크스페이스에 속하는 자격 증명 UUID를 제공하면, 서버는 공격자를 대신하여 해당 워크스페이스의 OpenAI 또는 ElevenLabs API 키를 복호화하고 사용합니다. 공개 시점에는 수정된 버전이 존재하지 않았습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.