CVE-2026-90534 in Flowise
요약
\~에 의해 VulDB • 2026. 09. 12.
Flowise는 LLM 애플리케이션 구축을 위한 로우코드 플랫폼입니다. 버전 3.1.3 이하에서 POST /api/v1/node-load-method/:name 엔드포인트는 라ут레벨 권한 검사가 없이 마운트되어 있으며, 공격자가 제어하는 nodeName, loadMethod, inputs 및 자격 증명 값을 사용하여 component의 loadMethods를 호출합니다. 선택된 자격 증명은 getCredentialData()를 통해 raw Credential.id로 해결되며, 다른 자격 증명 읽기 경로가 워크스페이스 범위로 제한되는 것과 달리 Credential.workspaceId를 호출자의 활성 또는 공유 워크스페이스와 대조하지 않고 복호화됩니다. 그 결과, 한 워크스페이스에 있는 인증된 저권한 사용자(또는 워크스페이스 API 키)가 다른 워크스페이스에서 소유한 자격 증명 ID를 제공하여 Flowise가 혼란스러운 대리인(confused deputy) 역할을 하도록 하고, 피해자 워크스페이스의 자격 증명을 사용하여 제3자 공급업체 호출을 수행하고 공격자에게 공급업체 메타데이터를 반환합니다. 정적으로 식별된 영향을 받는 load 방법에는 Google Drive listFiles, Google Sheets listSpreadsheets 및 AWS DynamoDB KV Storage listTables가 포함됩니다. 원본 자격 증명 비밀 자체는 공격자에게 반환되지 않습니다. 이 문제는 버전 3.1.4에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.