CVE-2026-69252

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.3

Description Existe um problema onde o endpoint '/api/v1/files' é protegido apenas por um gate de recurso e não aplica verificações de permissão em requisições GET e DELETE. Isso permite que um usuário autenticado com uma chave de API de baixo privilégio liste e exclua arquivos pertencentes a outros workspaces dentro da mesma organização. A falha ocorre porque as funções getAllFiles() e deleteFile() dependem do activeOrganizationId e de uma variável path controlada pelo usuário, sem verificar o activeWorkspaceId ou permissões específicas do usuário. Isso resulta em uma quebra do isolamento de workspace, podendo levar ao acesso não autorizado a dados e adulteração destrutiva.

Recommendations Atualize o Flowise para a versão 3.1.3.