CVE-2026-69262

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.3

Description Existe uma falha de bypass de autorização no endpoint DELETE /api/v1/chatflows/:id. O sistema utiliza a função checkAnyPermission('chatflows:delete,agentflows:delete'), que permite o acesso se o usuário possuir qualquer uma das permissões. No entanto, a lógica de exclusão subsequente verifica apenas o id e o workspaceId sem validar o tipo de recurso. Isso permite que um usuário com apenas permissões de agentflows:delete exclua um CHATFLOW, e que um usuário com apenas permissões de chatflows:delete exclua um AGENTFLOW no mesmo workspace, ignorando a separação pretendida do Controle de Acesso Baseado em Funções (RBAC).

Recommendations Atualize o Flowise para a versão 3.1.3.