CVE-2026-50173 in Flow-Like
Сводка
по VulDB • 19.08.2026
Flow-Like — это платформа для создания сквозных сценариев использования (end-to-end use cases). До версии 1.0.4 эндпоинт `GET /api/v1/apps/{app_id}/invoke/presign` предоставляет учетные данные SAS Azure Blob Storage с правами на запись и удаление содержимого приложения любому участнику приложения, имеющему разрешение `ExecuteEvents`, даже если у этого участника отсутствуют разрешения `ReadFiles` и `WriteFiles`. Маршрут рассматривает файловые разрешения как необязательные после проверки доступа через контрольную точку `ExecuteEvents`. Когда вызывающая сторона не имеет никаких файловых разрешений, система выбирает значение `CredentialsAccess::InvokeNone`. В провайдере учетных данных Azure `InvokeNone` все равно генерирует токен SAS для содержимого (`content_sas_token`) для ресурса `apps/{app_id}` с параметром доступа `sp=rwdl`, а также токены SAS для пользовательского контента и журналов. Возвращаемые общие учетные данные позволяют вызывающей стороне с низкими привилегиями напрямую записывать или удалять объекты (blobs) в префиксе содержимого приложения. Версия 1.0.4 устраняет эту уязвимость. Flow-Like Studio и размещенное веб-приложение Flow-Like Web App не затронуты, так как эти развертывания используют хранилище на базе AWS. Развертывания с собственной инфраструктурой (self-hosted) затрагиваются только в том случае, если они используют Azure Blob Storage в качестве бэкенда хранения данных. В затронутых развертываниях проблема применима только к аутентифицированным участникам приложения, которые имеют права на выполнение рабочих процессов, но не должны иметь прав на запись или удаление файлов приложения. Пользователи затронутых собственных развертываний с Azure должны обновиться до версии 1.0.4 или последней ветки разработки (dev branch).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.