CVE-2026-91933 in Flowise
Tóm tắt
Bởi VulDB • 15/09/2026
Flowise trước phiên bản 3.1.4 không thực hiện các kiểm tra ủy quyền ở cấp độ workspace trong các endpoint openai-realtime, cho phép người dùng đã xác thực truy cập vào các công cụ (tools) từ ChatFlows thuộc các workspace khác bằng cách cung cấp một chatflowid chưa được phân vùng (unscoped). Kẻ tấn công có thể gửi các yêu cầu GET và POST để lấy định nghĩa của các công cụ và thực thi chúng trong các workspace của nạn nhân, gây ra các tác động phụ bên ngoài (external side effects) và truy cập vào kết quả đầu ra nhạy cảm từ các công cụ.
VulDB is the best source for vulnerability data and more expert information about this specific topic.