CVE-2026-46441
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Flowise przed wersją 3.1.2 zawiera podatność na masowe przypisanie w punkcie końcowym aktualizacji asystenta. Uwierzytelniony użytkownik może modyfikować właściwości kontrolowane przez serwer, takie jak workspaceId, createdDate i updatedDate. Brak walidacji po stronie serwera i kontroli autoryzacji umożliwia atakującemu manipulację polem workspaceId i przenoszenie asystentów do dowolnych przestrzeni roboczych.
Ocena ryzyka
W środowiskach z wieloma przestrzeniami roboczymi dochodzi do naruszenia izolacji dzierżawców, co może prowadzić do nieautoryzowanego dostępu do danych innych użytkowników.
Rekomendacja
Należy zaktualizować Flowise do wersji 3.1.2 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Flowise is a drag & drop user interface to build a customized large language model flow. Prior to version 3.1.2, a mass assignment vulnerability exists in the assistant update endpoint of FlowiseAI. The endpoint allows authenticated users to modify server-controlled properties such as workspaceId, createdDate, and updatedDate when updating an assistant resource. Due to missing server-side validation and authorization checks, an attacker can manipulate the workspaceId field and reassign assistants to arbitrary workspaces. This breaks tenant isolation in multi-workspace environments. This issue has been patched in version 3.1.2.