Shibin Das

**Nome do Software Vulnerável e Versões Afetadas** FlowDrop versões 0.0.0 a 1.6.0 **Description** Uma falha de autorização ausente permite a navegação forçada (Forceful Browsing). O módulo, que permite testar e executar fluxos de trabalho orientados por IA através de uma interface de chat, não aplica permissões adequadamente em certos endpoints. Isso pode permitir que atacantes acionem a execução de fluxos de trabalho, resultando em custos de LLM (Large Language Model) e efeitos colaterais em ferramentas, ou permitam o envio de mensagens para sessões de outros usuários. O problema é mitigado pelo fato de o atacante precisar da permissão "View any session", que não é concedida a usuários anônimos ou autenticados por padrão. **Recommendations** Atualize o FlowDrop para uma versão posterior à 1.6.0. Restrinja a permissão "View any session" para evitar que usuários não autorizados acessem os endpoints afetados.

**Nome do Software Vulnerável e Versões Afetadas** FlowDrop versões 0.0.0 a 1.6.0 **Description** Uma falha de autorização permite a navegação forçada (forceful browsing). O módulo, que permite testar e executar fluxos de trabalho orientados por IA através de uma interface de chat, não reavalia adequadamente as etapas de aprovação humana (human-in-the-loop) quando o fluxo de trabalho itera mais de uma vez. Isso pode resultar na execução de fluxos de trabalho não pretendidos pelo usuário. A exploração requer que o invasor possua a função "Administer FlowDrop workflows" ou permissões equivalentes, como "Create FlowDrop workflows" ou "Edit FlowDrop workflows". **Recommendations** Atualize o FlowDrop para uma versão posterior à 1.6.0.