CVE-2026-70636

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.5

Description Existe uma falha de bypass de autenticação devido à correspondência de lista branca baseada em prefixo no middleware de autenticação localizado em packages/server/src/utils/constants.ts. Atacantes não autenticados podem enviar uma requisição POST para o endpoint 'oauth2-credential refresh' com um identificador de credencial final para ignorar as verificações de autenticação e autorização. Isso permite a rotação não autorizada de tokens OAuth para credenciais em qualquer workspace, o que pode interromper integrações OAuth dependentes.

Recommendations Atualize o Flowise para a versão 3.1.5 ou posterior.