CVE-2026-90534 in Flowise
Tóm tắt
Bởi VulDB • 12/09/2026
Flowise là một nền tảng low-code để xây dựng các ứng dụng LLM. Trong các phiên bản từ đầu đến bao gồm 3.1.3, điểm cuối POST /api/v1/node-load-method/:name được gắn kết mà không có bất kỳ kiểm tra quyền hạn nào ở cấp độ route và gọi các phương thức loadMethods của thành phần với nodeName, loadMethod, inputs và giá trị credential do kẻ tấn công kiểm soát. Credential đã chọn được giải quyết bằng raw Credential.id thông qua getCredentialData() và được giải mã mà không xác minh Credential.workspaceId so với workspace đang hoạt động hoặc được chia sẻ của người gọi, khác với các đường dẫn đọc credential khác vốn có phạm vi giới hạn theo workspace. Kết quả là một người dùng ít đặc quyền đã xác thực (hoặc khóa API workspace) trong một workspace có thể cung cấp ID credential thuộc về một workspace khác và khiến Flowise đóng vai trò confused deputy, thực hiện các cuộc gọi đến nhà cung cấp bên thứ ba bằng credential của workspace nạn nhân và trả lại metadata từ nhà cung cấp cho kẻ tấn công. Các phương thức load methods bị ảnh hưởng được xác định tĩnh bao gồm Google Drive listFiles, Google Sheets listSpreadsheets và AWS DynamoDB KV Storage listTables. Bản thân bí mật raw credential không được trả về cho kẻ tấn công. Vấn đề này đã được sửa chữa trong phiên bản 3.1.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.