PT-2026-41215 · Flowiseai+2 · Flowise
CVE-2026-46480
·
Publicado
2026-05-14
·
Atualizado
2026-06-08
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Flowise versões anteriores a 3.1.2
Description
Um problema de atribuição em massa (mass assignment) existe nos processos de criação e atualização de avaliadores. O servidor utiliza
Object.assign() para copiar o corpo da requisição para a entidade Evaluator sem uma lista de permissões (allowlist) de campos explícita, permitindo que um cliente sobrescreva campos sensíveis como workspaceId, id, createdDate e updatedDate. Um invasor autenticado pode explorar isso enviando uma requisição para o endpoint PUT /api/v1/evaluators/<id> com a variável workspaceId modificada, movendo efetivamente um avaliador para um workspace diferente. Isso resulta em uma violação de limite entre workspaces e uma referência direta insegura a objetos (IDOR), onde o invasor pode transferir a propriedade de um avaliador para outro workspace cujo UUID seja conhecido ou enumerado.Recommendations
Atualize para a versão 3.1.2.
Como medida paliativa temporária, restrinja o acesso ao endpoint
PUT /api/v1/evaluators/<id> ou monitore requisições que contenham a variável workspaceId no corpo da requisição.Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Flowise