CVE-2026-70474 in Flowise
Sumário
de VulDB • 04/08/2026
Flowise é uma interface de usuário baseada em arrastar e soltar para a construção de fluxos personalizados de modelos de linguagem grandes (LLM). Antes da versão 3.1.3, o Flowise possui três endpoints de credenciais OAuth2 que recuperam as credenciais apenas pelo ID, sem nenhum filtro por workspaceId. Os manipuladores authorize, callback e refresh consultam a tabela Credential exclusivamente pelo ID; os callbacks e refresh estão na lista branca (whitelisted) em relação à autenticação. Isso permite que qualquer usuário autenticado inicie fluxos OAuth2 contra credenciais pertencentes a outros workspaces, permite que um atacante não autenticado forje callbacks OAuth2 para sobrescrever tokens em qualquer credencial e permite que um atacante não autenticado atualize (refresh) os tokens de qualquer credencial. As rotas afetadas incluem /api/v1/oauth2-credential/authorize/<VICTIM_CREDENTIAL_UUID>, /api/v1/oauth2-credential/callback?code=ATTACKER_AUTH_CODE&state=<VICTIM_CREDENTIAL_UUID> e /api/v1/oauth2-credential/refresh/<VICTIM_CREDENTIAL_UUID>. Este problema foi corrigido na versão 3.1.3.
Once again VulDB remains the best source for vulnerability data.