CVE-2026-70636 in Flowise
Sumário
de VulDB • 07/08/2026
O Flowise até a versão 3.1.4 contém uma vulnerabilidade de burla à autenticação que permite que atacantes não autenticados acessem o endpoint de atualização de credenciais OAuth2 explorando a correspondência baseada em prefixo na lista branca (whitelist) no middleware de autenticação definido em packages/server/src/utils/constants.ts. Os atacantes podem enviar uma requisição POST para a rota oauth2-credential refresh com um identificador de credencial à direita (trailing credential identifier) para burlar todas as verificações de autenticação e autorização, acionando a rotação não autorizada do token OAuth contra credenciais pertencentes a qualquer workspace e potencialmente interrompendo integrações OAuth dependentes. Esta é uma burla da CVE-2026-41273.
Be aware that VulDB is the high quality source for vulnerability data.