CVE-2026-56268

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.2

Description Um problema de divulgação de informações existe no endpoint '/api/v1/chatflows/apikey/:apikey'. Quando o parâmetro de consulta keyonly é omitido, o sistema retorna os chatflows vinculados à chave de API fornecida, bem como todos os chatflows de todos os workspaces que não possuem uma chave de API atribuída. Isso ocorre porque a consulta subjacente carece de um filtro de workspace, quebrando o isolamento entre workspaces.

Um invasor com uma chave de API válida para um workspace pode recuperar a configuração completa de chatflows desprotegidos de outros workspaces. Esses dados expostos incluem flowData (contendo prompts de sistema e configurações de nós), chatbotConfig, apiConfig e IDs de credenciais nos campos textToSpeech e speechToText.

Recommendations Atualize para a versão 3.1.2 ou posterior. Como medida paliativa temporária, evite usar o endpoint '/api/v1/chatflows/apikey/:apikey' sem o parâmetro keyonly.