PT-2026-51150 · Flowise · Flowise
CVSS v4.0
6.9
Média
| Vetor | AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Flowise versões anteriores a 3.0.13
Description
Um problema de exposição de informações existe no endpoint 'POST /api/v1/account/forgot-password'. Atacantes não autenticados podem enumerar endereços de e-mail válidos e coletar dados sensíveis de usuários, incluindo PII (Informações de Identificação Pessoal), IDs de usuário, nomes, status da conta e carimbos de data/hora, enviando solicitações com endereços de e-mail conhecidos. Isso ocorre porque o endpoint retorna objetos de usuário completos.
Recommendations
Atualize para a versão 3.0.13 ou posterior.
Exploit
Correção
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Flowise