PT-2026-99280 · Flowise · Flowise

Akshatgit

·

CVE-2026-100609

·

Publicado

2026-09-26

·

Atualizado

2026-09-26

CVSS v4.0

7.6

Alta

VetorAV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.5
Descrição Um usuário autenticado pode acessar credenciais de outro espaço de trabalho fornecendo um UUID de credencial. Isso ocorre porque o sistema realiza buscas usando findOneBy({ id: credentialId }) sem verificar o workspaceId do usuário solicitante. Este problema afeta os seguintes endpoints:
  • GET '/api/v1/openai-assistants'
  • GET '/api/v1/openai-assistants/:id'
  • POST '/api/v1/openai-assistants-file/upload/'
  • DELETE '/api/v1/assistants/:id'
  • GET '/api/v1/text-to-speech/voices'
A exploração permite que um invasor force o servidor a descriptografar e utilizar chaves de API da OpenAI ou ElevenLabs pertencentes a um espaço de trabalho diferente.
Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

IDOR

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-100609
GHSA-27W2-26M5-X82C

Produtos afetados

Flowise