CVE-2026-71962
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Flowise w wersjach od 2.2.4 do 3.1.4 ma brak autoryzacji w punkcie końcowym POST /api/v1/openai-assistants-file/download, który jest na globalnej liście dozwolonych bez uwierzytelnienia. Niezalogowany atakujący może uzyskać dostęp do prywatnych plików z dowolnego chatflow, w tym z innych organizacji.
Ocena ryzyka
Atakujący może wykraść poufne pliki z dowolnego chatflow, co może naruszyć prywatność i bezpieczeństwo danych.
Rekomendacja
Zaktualizuj Flowise do wersji nowszej niż 3.1.4, która zawiera poprawkę autoryzacji.
Oryginalny opis (angielski, źródło NVD)
Flowise versions 2.2.4 through 3.1.4 contain a missing authorization vulnerability in the POST /api/v1/openai-assistants-file/download endpoint that allows unauthenticated attackers to access private files by exploiting the endpoint's inclusion in the global authentication whitelist, which bypasses all session and API key verification. Attackers can supply valid chatflowId, chatId, and fileName identifiers to retrieve files from any chatflow on the instance, including private chatflows belonging to other workspaces or organizations.