CVE-2026-41273

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.0

Description Uma falha de bypass de autenticação permite que um invasor não autenticado obtenha tokens de acesso OAuth 2.0 associados a um chatflow público. Ao acessar o endpoint 'GET /api/v1/public-chatbotConfig/', um invasor pode recuperar flowData interno contendo identificadores de credenciais OAuth no campo credential. Esses identificadores podem então ser usados através do endpoint 'POST /api/v1/oauth2-credential/refresh/', que permite a atualização de tokens OAuth 2.0 sem verificações de autenticação ou autorização. Essa combinação possibilita a exposição de tokens de acesso válidos para serviços de terceiros, podendo levar ao acesso não autorizado a dados ou comprometimento de contas.

Recommendations Atualizar para a versão 3.1.0.