CVE-2026-46440
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W Flowise przed wersją 3.1.2, endpoint checkBasicAuth weryfikuje dane uwierzytelniające w postaci jawnego tekstu bez ograniczania szybkości żądań i z bezpośrednim porównaniem. Umożliwia to atakującemu przeprowadzenie ataku brute-force na hasła.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości przejęcia kont użytkowników poprzez atak brute-force, co może prowadzić do nieautoryzowanego dostępu do systemu LLM.
Rekomendacja
Należy zaktualizować Flowise do wersji 3.1.2 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Flowise is a drag & drop user interface to build a customized large language model flow. Prior to version 3.1.2, the checkBasicAuth endpoint validates credentials in plaintext without rate limiting and with direct comparison. This issue has been patched in version 3.1.2.