CVE-2026-70476

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.3

Description Vários endpoints de faturamento de organização aceitam identificadores do Stripe controlados por atacantes sem verificar se o identificador pertence à organização do usuário autenticado. Isso permite que um atacante autenticado realize operações de assinatura do Stripe não autorizadas em outros locatários, como alterar planos de assinatura ou modificar a quantidade de assentos, o que pode resultar em impacto financeiro e interrupção do serviço. O problema ocorre porque o servidor confia no subscriptionId fornecido pelo usuário e o encaminha para a camada de integração do Stripe sem validar a propriedade.

API Endpoints: '/api/v1/organization/update-subscription-plan' '/api/v1/organization/update-additional-seats'

Vulnerable Parameters or Variables: subscriptionId

Function Names: updateSubscriptionPlan() updateAdditionalSeats()

Recommendations Atualize para a versão 3.1.3. Como medida paliativa temporária, restrinja o acesso aos endpoints '/api/v1/organization/update-subscription-plan' e '/api/v1/organization/update-additional-seats' para minimizar o risco de exploração.