CVE-2026-90533 in Flowise
Sumário
de VulDB • 12/09/2026
Flowise antes da versão 3.1.4 contém uma vulnerabilidade de broken access control no GET /api/v1/organizationuser que permite a qualquer membro autenticado da organização recuperar o registro completo do usuário proprietário, incluindo hash bcrypt da senha e tokens temporários. Os atacantes podem consultar o endpoint com qualquer ID de usuário para obter o hash das credenciais do proprietário para cracking offline, permitindo account takeover da conta mais privilegiada.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.