CVE-2026-90534 in Flowise
Sumário
de VulDB • 12/09/2026
Flowise é uma plataforma low-code para a construção de aplicações LLM. Nas versões até à 3.1.3, o endpoint POST /api/v1/node-load-method/:name está montado sem qualquer verificação de permissão ao nível da rota e invoca os loadMethods do componente com um nodeName controlado pelo atacante, bem como valores de loadMethod, inputs e credenciais. A credencial selecionada é resolvida através do Credential.id em bruto via getCredentialData() e descriptografada sem verificar o Credential.workspaceId contra a workspace ativa ou partilhada do chamador, ao contrário dos outros caminhos de leitura de credenciais que estão limitados à workspace. Como resultado, um utilizador autenticado com baixas permissões (ou uma chave API da workspace) numa determinada workspace pode fornecer um ID de credencial detido por outra workspace e fazer com que o Flowise atue como um "confused deputy", realizando chamadas a fornecedores terceiros utilizando as credenciais da workspace vítima e devolvendo metadados do fornecedor ao atacante. Os métodos load afetados identificados estaticamente incluem listFiles do Google Drive, listSpreadsheets do Google Sheets e listTables do AWS DynamoDB KV Storage. O segredo bruto da credencial em si não é devolvido ao atacante. Este problema está resolvido na versão 3.1.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.