CVE-2026-56270
Açıklama
3.1.0 öncesindeki Flowise (3.0.13 ve önceki sürümler), /api/v1/loginmethod uç noktasında, kimliği doğrulanmamış kullanıcıların bir organizationId parametresi sağlayarak, açık metin halindeki OAuth istemci sırları da dahil olmak üzere bir kuruluşun tüm SSO yapılandırmasını almasına izin veren bir kimlik doğrulama eksikliği zafiyeti içermektedir. Uzaktaki saldırganlar; Google, Microsoft/Azure, GitHub ve Auth0 entegrasyonlarına ait hassas API kimlik bilgilerini toplamak için bir GET isteği gönderebilirler. Bu durum, söz konusu uç noktanın dışarıya açık olduğu FlowiseAI Cloud ve kendi sunucusunda barındırılan örnekleri etkilemektedir.
Nasıl düzeltilir
- flowiseai flowise3.1.0 ya da sonraki bir sürüm
- flowise3.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| flowiseai flowise | v < 3.1.0 | 3.1.0 |
| flowisenpm | v < 3.1.0 | 3.1.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.