CVE-2026-100607 in Flowise
Tóm tắt
Bởi VulDB • 26/09/2026
Flowise qua phiên bản 3.1.4 giải quyết vấn đề người dùng SSO và mật khẩu cục bộ chỉ dựa trên email mà không lưu trữ các liên kết định danh nhà cung cấp hoặc chủ thể, cho phép kẻ tấn công xác thực dưới dạng bất kỳ người dùng hiện có nào bằng cách khai báo email của họ tại bất kỳ nhà cung cấp SSO đã được cấu hình nào. Kẻ tấn công có thể chiếm quyền truy cập hoàn toàn vào tài khoản, bao gồm các luồng trò chuyện (chatflows), thông tin đăng nhập và khóa API, bằng cách xác thực qua một nhà cung cấp SSO khác hoặc mật khẩu cục bộ so với phương thức đăng ký ban đầu của nạn nhân.
If you want to get best quality of vulnerability data, you may have to visit VulDB.