CVE-2026-90533 in Flowise
요약
\~에 의해 VulDB • 2026. 09. 12.
Flowise 3.1.4 이전 버전에는 GET /api/v1/organizationuser 엔드포인트에서 깨진 접근 제어(Broken Access Control) 취약점이 존재합니다. 이 취약점을 통해 인증된 조직 구성원 누구나 조직 소유자의 전체 사용자 레코드(bcrypt 비밀번호 해시 및 임시 토큰 포함)를 조회할 수 있습니다. 공격자는 임의의 사용자 ID로 해당 엔드포인트에 쿼리하여 소유자의 자격 증명 해시를 획득하고 오프라인 크래킹을 수행함으로써, 가장 높은 권한을 가진 계정을 탈취(계정 인수)할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.