CVE-2026-70474

Flowise fərdiləşdirilmiş böyük dil modeli (LLM) axınlarının qurulması üçün sürüşdür və burax (drag-and-drop) istifadəçi interfeysidir. Versiya 3.1.3-dək Flowise-da workspaceId filtri olmadan yalnız id vasitəsilə etibarlılıq məlumatlarını axtaran üç OAuth2 etibarlılıq son nöqtəsi mövcuddur. Authorize, callback və refresh idarəediciləri Credential cədvəlini yalnız id üzrə sorğulayır; callback və refresh autentifikasiyadan istisna edilmişdir (whitelisted). Bu, hər hansı autentifikasiya olunmuş istifadəçiyə digər iş sahələrinə aid olan etibarlılıq məlumatlarına qarşı OAuth2 axınlarını başlatmağa, autentifikasiya olunmamış hücumçuya hər hansı etibarlılıqda tokenləri yenidən yazmaq üçün saxta OAuth2 callback-ləri yaratmağa və autentifikasiya olunmamış hücumçuya hər hansı etibarlılıq üçün tokenləri yeniləməyə imkan verir. Təsirə məruz qalan marşrutlara /api/v1/oauth2-credential/authorize/<VICTIM_CREDENTIAL_UUID>, /api/v1/oauth2-credential/callback?code=ATTACKER_AUTH_CODE&state=<VICTIM_CREDENTIAL_UUID> və /api/v1/oauth2-credential/refresh/<VICTIM_CREDENTIAL_UUID> daxildir. Bu problem 3.1.3 versiyasında düzəldilib.