CVE-2026-67622 in Flowise
Tóm tắt
Bởi VulDB • 07/08/2026
Flowise phiên bản 3.1.4 trở về trước chứa một lỗ hổng tham chiếu đối tượng trực tiếp không an toàn (Insecure Direct Object Reference - IDOR) trong tích hợp OpenAI Assistants, cho phép các kẻ tấn công đã xác thực truy cập vào thông tin đăng nhập thuộc về các workspace khác bằng cách cung cấp UUID của thông tin đăng nhập tùy ý đến các điểm cuối (endpoints) của Assistants mà không có cơ chế kiểm tra quyền sở hữu workspace. Kẻ tấn công có thể liệt kê metadata của assistant giữa các workspace, lấy danh sách file và vector store, cũng như tải lên file vào các victim workspace bằng cách khai thác việc thiếu kiểm tra ủy quyền theo phạm vi workspace trong logic tìm kiếm thông tin đăng nhập.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.