CVE-2026-56270

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.0

Description Um problema de falta de autenticação existe no endpoint '/api/v1/loginmethod'. Usuários não autenticados podem recuperar a configuração completa de Single Sign-On (SSO) de uma organização, incluindo segredos de cliente OAuth em texto claro, ao fornecer o parâmetro organizationId. Isso permite que atacantes remotos coletem credenciais de API sensíveis para integrações com Google, Microsoft/Azure, GitHub e Auth0. Este problema afeta tanto o FlowiseAI Cloud quanto instâncias auto-hospedadas onde o endpoint está exposto.

Recommendations Atualize para a versão 3.1.0 ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint '/api/v1/loginmethod' para minimizar o risco de exploração.