PT-2026-40976 · Flowiseai+2 · Flowise
Publicado
2026-05-14
·
Atualizado
2026-06-11
·
CVE-2026-42862
CVSS v4.0
7.6
Alta
| Vetor | AV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Flowise versões anteriores a 3.1.2
Description
Um problema de atribuição em massa existe no endpoint de atualização de ferramentas. Isso ocorre quando o servidor não restringe quais propriedades um cliente pode modificar, permitindo que corpos de requisição controlados pelo usuário incluam campos que deveriam ser gerenciados exclusivamente pelo backend. Especificamente, o endpoint "/api/v1/tools/{toolId}" carece de validação no lado do servidor e verificações de autorização, permitindo que usuários autenticados manipulem variáveis controladas pelo servidor, como
workspaceId, createdDate e updatedDate. Ao manipular a variável workspaceId, um invasor pode reatribuir ferramentas a workspaces arbitrários, o que quebra o isolamento de locatários em ambientes de múltiplos workspaces.Recommendations
Atualizar para a versão 3.1.2.
Exploit
Correção
Improper Access Control
IDOR
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Flowise