CVE-2026-91933 in Flowise
요약
\~에 의해 VulDB • 2026. 09. 17.
Flowise 3.1.4 이전 버전은 openai-realtime 엔드포인트에서 워크스페이스 수준의 권한 확인을 강제하지 않아, 인증된 사용자가 스코프가 지정되지 않은 chatflowid를 제공하여 다른 워크스페이스의 ChatFlows에 있는 도구에 접근할 수 있습니다. 공격자는 GET 및 POST 요청을 호출하여 도구 정의를 검색하고 피해자 워크스페이스의 도구를 실행함으로써 외부 부작용을 유발하고 민감한 도구 출력을 액세스할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.