PT-2026-41206 · Flowiseai+2 · Flowise

CVE-2026-46441 · Publicado 2026-05-14 · Atualizado 2026-06-11

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.2

Description Um problema de atribuição em massa existe no endpoint de atualização de assistentes. Isso ocorre quando o servidor não restringe quais propriedades podem ser modificadas pelo cliente, permitindo que corpos de requisição controlados pelo usuário incluam campos que deveriam ser gerenciados exclusivamente pelo backend. Usuários autenticados podem manipular propriedades controladas pelo servidor, especificamente workspaceId, createdDate e updatedDate, através do endpoint 'PUT /api/v1/assistants/{assistantId}'. Devido à falta de validação no lado do servidor e verificações de autorização, um invasor pode alterar o campo workspaceId para reatribuir assistentes a espaços de trabalho arbitrários, o que quebra o isolamento de locatários em ambientes de múltiplos espaços de trabalho.

Recommendations Atualizar para a versão 3.1.2.

Exploit

Correção

Improper Access Control

IDOR

Enumeração de Fraquezas

CWE-284

CWE-639

CWE-915

Identificadores relacionados

CVE-2026-46441

GHSA-HP26-Q66V-Q2W7

Produtos afetados

Flowise

Referências · 9

• 🔥 https://github.com/FlowiseAI/Flowise/security/advisories/GHSA-hp26-q66v-q2w7 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/46xxx/CVE-2026-46441.json · Exploit
• https://github.com/FlowiseAI/Flowise/releases/tag/flowise%403.1.2 · Nota
• https://github.com/FlowiseAI/Flowise · Nota
• https://osv.dev/vulnerability/CVE-2026-46441 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-46441 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-hp26-q66v-q2w7 · Aviso do Fabricante
• https://t.me/cveNotify/166622 · Publicação no Telegram
• https://t.me/cveNotify/167013 · Publicação no Telegram