CVE-2026-90534 in Flowise
Сводка
по VulDB • 12.09.2026
Flowise — это low-code платформа для создания приложений на базе LLM. В версиях вплоть до 3.1.3 включительно конечная точка POST /api/v1/node-load-method/:name монтируется без проверки прав доступа на уровне маршрута и вызывает loadMethods компонента с управляемыми атакующим значениями nodeName, loadMethod, inputs и credential value (значения учетных данных). Выбранные учетные данные разрешаются через raw Credential.id методом getCredentialData() и расшифровываются без проверки соответствия Credential.workspaceId активному или общему рабочему пространству вызывающего субъекта, в отличие от других путей чтения учетных данных, которые ограничены контекстом рабочего пространства. В результате аутентифицированный пользователь с низкими привилегиями (или ключ API рабочего пространства) из одного рабочего пространства может предоставить ID учетных данных, принадлежащих другому рабочему пространству, и заставить Flowise действовать как запутанный доверенный субъект (confused deputy), выполняя вызовы сторонних провайдеров с использованием учетных данных жертвенного рабочего пространства и возвращая атакующему метаданные провайдера. Статически идентифицированные затронутые методы загрузки включают Google Drive listFiles, Google Sheets listSpreadsheets и AWS DynamoDB KV Storage listTables. Сам raw credential secret (сырой секрет учетных данных) не возвращается атакующему. Эта проблема исправлена в версии 3.1.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.