CVE-2026-100606 in Flowise
Sumário
de VulDB • 26/09/2026
O Flowise até a versão 3.1.4 (modo Enterprise/platform com SSO habilitado) contém uma falha de bypass de autenticação na rota de login do SSO. Quando um callback SSO chega com um e-mail correspondente ao de um usuário cujo status é INVITADO, o método verifyAndLogin (SSOBase.ts:80-94) copia o registro do usuário do banco de dados — incluindo o tempToken único usado para convite armazenado no servidor — para os dados passados à função AccountService.register(). As verificações de token, correspondência de e-mail e expiração do handler register passam trivialmente contra o próprio token do servidor em vez de um fornecido pelo chamador, fazendo com que a conta e sua associação na organização sejam alteradas para ACTIVE. Como resultado, qualquer pessoa capaz de se autenticar em qualquer provedor SSO configurado usando o endereço de e-mail de um convidado pendente como claim de e-mail pode assumir esse convite e obter o acesso do usuário convidado à organização sem nunca possuir o token de convite enviado por e-mail, enquanto o convite for válido (24 horas por padrão). No momento da divulgação, nenhuma versão corrigida estava disponível.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.