Shibin Das

Uma falha de autorização ausente permite a navegação forçada (Forceful Browsing). O módulo, que permite testar e executar fluxos de trabalho orientados por IA através de uma interface de chat, não aplica permissões adequadamente em certos endpoints. Isso pode permitir que atacantes acionem a execução de fluxos de trabalho, resultando em custos de LLM (Large Language Model) e efeitos colaterais em ferramentas, ou permitam o envio de mensagens para sessões de outros usuários. O problema é mitigado pelo fato de o atacante precisar da permissão "View any session", que não é concedida a usuários anônimos ou autenticados por padrão.

Uma falha de autorização permite a navegação forçada (forceful browsing). O módulo, que permite testar e executar fluxos de trabalho orientados por IA através de uma interface de chat, não reavalia adequadamente as etapas de aprovação humana (human-in-the-loop) quando o fluxo de trabalho itera mais de uma vez. Isso pode resultar na execução de fluxos de trabalho não pretendidos pelo usuário. A exploração requer que o invasor possua a função "Administer FlowDrop workflows" ou permissões equivalentes, como "Create FlowDrop workflows" ou "Edit FlowDrop workflows".