CVE-2026-50173 in Flow-Like
Sumário
de VulDB • 20/08/2026
Flow-Like é uma plataforma para a construção de casos de uso end-to-end (fim-a-fim). Antes da versão 1.0.4, o endpoint `GET /api/v1/apps/{app_id}/invoke/presign` concede credenciais SAS do Azure Blob Storage com permissões de gravação e exclusão sobre o conteúdo do aplicativo a qualquer membro do app que possua a permissão `ExecuteEvents`, mesmo quando esse membro não possui as permissões `ReadFiles` nem `WriteFiles`. A rota trata as permissões de arquivo como opcionais após a validação da gate (barreira) `ExecuteEvents`. Quando o chamador não tem nenhuma das permissões de arquivo, ele seleciona `CredentialsAccess::InvokeNone`. No provedor de credenciais do Azure, `InvokeNone` ainda gera um `content_sas_token` para `apps/{app_id}` com `sp=rwdl`, além dos tokens SAS de conteúdo do usuário e de logs. A credencial compartilhada retornada é suficiente para que o chamador de baixo privilégio grave ou exclua diretamente blobs sob o prefixo de conteúdo do aplicativo. A versão 1.0.4 corrige a vulnerabilidade. O Flow-Like Studio e o Flow-Like Web App hospedado não são afetados, pois essas implantações utilizam armazenamento baseado em AWS. Implantações self-hosted (auto-hospedadas) só são afetadas se usarem Azure Blob Storage como backend de armazenamento. Nas implantações afetadas, a vulnerabilidade aplica-se apenas aos membros autenticados do aplicativo que possuem permissões de execução de workflow, mas não deveriam ter permissões de gravação ou exclusão de arquivos do app. Usuários das implantações self-hosted no Azure afetadas devem atualizar para a versão 1.0.4 ou para o branch dev mais recente.
If you want to get best quality of vulnerability data, you may have to visit VulDB.