Deathspirate

**Nome do Software Vulnerável e Versões Afetadas** Flowise versões anteriores a 3.1.2 **Description** O endpoint de geração de conversão de texto em fala (TTS) `packages/server/src/controllers/text-to-speech/index.ts` define o cabeçalho `Access-Control-Allow-Origin` como um caractere curinga (*) fixo, ignorando a política de CORS configurada no servidor. Isso ignora a configuração de CORS restritiva padrão gerenciada pela função `getCorsOptions()`, permitindo que qualquer página da web inicie solicitações de origem cruzada que acionem a geração de TTS usando credenciais armazenadas. Isso pode levar ao abuso de credenciais de origem cruzada do tipo drive-by, onde um site malicioso aciona ações no servidor usando a sessão autenticada da vítima. **Recommendations** Atualize para a versão 3.1.2 ou posterior.