CVE-2026-90533

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.4

Description Um controle de acesso quebrado no endpoint 'GET /api/v1/organizationuser' permite que qualquer membro autenticado de uma organização recupere o registro completo do usuário proprietário da organização. Isso inclui o hash de senha bcrypt e tokens temporários. Ao consultar o endpoint com um user ID específico, um invasor pode obter o hash de credenciais para quebra offline, permitindo a tomada de controle da conta com os maiores privilégios.

Recommendations Atualize para a versão 3.1.4 ou posterior. Restrinja o acesso ao endpoint 'GET /api/v1/organizationuser' para evitar a recuperação não autorizada de registros de usuários.