CVE-2026-90534

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.4

Descrição O endpoint POST '/api/v1/node-load-method/:name' carece de verificações de permissão no nível da rota e permite a invocação de loadMethods de componentes usando nodeName, loadMethod, inputs e valores de credenciais controlados por um invasor. O sistema resolve a credencial selecionada via getCredentialData() usando o Credential.id bruto e a descriptografa sem verificar o Credential.workspaceId em relação ao workspace ativo ou compartilhado do chamador. Isso permite que um usuário autenticado de baixo privilégio ou uma chave de API de workspace de um workspace forneça um ID de credencial pertencente a outro workspace. Consequentemente, a aplicação atua como um confused deputy, executando chamadas de provedores terceiros usando as credenciais do workspace vítima e retornando metadados do provedor ao invasor. Os métodos de carregamento afetados incluem Google Drive listFiles, Google Sheets listSpreadsheets e AWS DynamoDB KV Storage listTables. O segredo bruto da credencial não é exposto. Um confused deputy é um problema de segurança onde uma entidade privilegiada é enganada por uma entidade menos privilegiada para realizar uma ação em seu nome.

Recomendações Atualizar para a versão 3.1.4.