CVE-2026-100606

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.5

Descrição Existe uma falha de bypass de autenticação no caminho de login SSO quando o modo Enterprise/platform com SSO está habilitado. O problema ocorre quando um callback de SSO é recebido com um e-mail correspondente a um usuário com status INVITED. A função verifyAndLogin() em SSOBase.ts copia o registro do usuário, incluindo o tempToken de uso único armazenado no servidor, para os dados enviados ao AccountService.register(). Isso faz com que a busca de token, a correspondência de e-mail e as verificações de expiração sejam aprovadas usando o próprio token do servidor em vez de um token fornecido pelo solicitante, resultando na alteração da conta e da associação à organização para ACTIVE. Consequentemente, um invasor que consiga se autenticar por meio de um provedor SSO configurado usando o endereço de e-mail de um convidado pendente pode assumir o convite e obter acesso à organização sem possuir o token de convite, desde que o convite ainda seja válido.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.