Piropatriot

**Nome do Software Vulnerável e Versões Afetadas** Flowise versões anteriores a 3.1.5 **Descrição** Membros autenticados de um espaço de trabalho podem realizar operações não autorizadas no armazenamento de documentos devido à falta de autorização em endpoints de mutação. Usuários com permissões de apenas visualização podem enviar requisições HTTP diretas para as rotas 'upsert' e 'refresh' do armazenamento de documentos. Isso permite disparar a ingestão de documentos, atualizar conteúdos do banco de dados vetorial, consumir créditos de API de embedding e modificar bases de conhecimento utilizadas por fluxos de chat subsequentes. **Recomendações** Atualize o Flowise para a versão 3.1.5 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Flowise versões anteriores a 3.1.5 **Description** Ocorre uma referência direta insegura a objeto (IDOR) na integração do OpenAI Assistants. Este problema permite que atacantes autenticados acessem credenciais de outros espaços de trabalho ao fornecer um UUID de credencial arbitrário aos endpoints do Assistants, pois o sistema não verifica a propriedade do espaço de trabalho. Ao explorar a falta de verificação de autorização com escopo de espaço de trabalho na lógica de busca de credenciais, atacantes podem enumerar metadados de assistentes entre espaços de trabalho, recuperar listagens de arquivos e vector stores, e fazer upload de arquivos em espaços de trabalho de vítimas. **Recommendations** Atualize para a versão 3.1.5 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Flowise versões anteriores a 3.1.5 **Description** Existe uma falha de bypass de autenticação devido à correspondência de lista branca baseada em prefixo no middleware de autenticação localizado em `packages/server/src/utils/constants.ts`. Atacantes não autenticados podem enviar uma requisição POST para o endpoint 'oauth2-credential refresh' com um identificador de credencial final para ignorar as verificações de autenticação e autorização. Isso permite a rotação não autorizada de tokens OAuth para credenciais em qualquer workspace, o que pode interromper integrações OAuth dependentes. **Recommendations** Atualize o Flowise para a versão 3.1.5 ou posterior.