CVE-2026-70474

Flowise, özelleştirilmiş büyük dil modeli (LLM) akışları oluşturmak için sürükle-bırak kullanıcı arayüzüdür. 3.1.3 sürümünden önce Flowise, kimlik bilgilerini yalnızca id ile ve workspaceId filtresi olmadan arayan üç OAuth2 kimlik bilgisi uç noktasına sahiptir. authorize, callback ve refresh işleyicileri Credential tablosunu yalnızca id ile sorgular; callback ve refresh kimlik doğrulamadan muaf tutulur. Bu durum, kimliği doğrulanmış herhangi bir kullanıcının başka çalışma alanlarına ait kimlik bilgilerine karşı OAuth2 akışları başlatmasına, kimliği doğrulanmamış bir saldırganın herhangi bir kimlik bilgisindeki belirteçlerin üzerine yazmak için OAuth2 callback'lerini sahte olarak oluşturmasına ve kimliği doğrulanmamış bir saldırganın herhangi bir kimlik bilgisi için belirteçleri yenilemesine olanak tanır. Etkilenen rotalar /api/v1/oauth2-credential/authorize/<VICTIM_CREDENTIAL_UUID>, /api/v1/oauth2-credential/callback?code=ATTACKER_AUTH_CODE&state=<VICTIM_CREDENTIAL_UUID> ve /api/v1/oauth2-credential/refresh/<VICTIM_CREDENTIAL_UUID> içerir. Bu sorun 3.1.3 sürümünde düzeltilmiştir.