CVE-2026-73603
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Flowise przed wersją 3.1.4 nie waliduje widoczności chatflow w nieuwierzytelnionym punkcie końcowym zamiany tekstu na mowę, co pozwala atakującym na nadużywanie poświadczeń TTS prywatnych chatflow. Nieuwierzytelnieni atakujący mogą generować nieograniczoną liczbę plików audio tekstu na mowę, używając zapisanych kluczy API OpenAI lub ElevenLabs, podając prawidłowy UUID chatflow, co generuje koszty na koncie właściciela chatflow.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowane wykorzystanie zasobów i ponoszenie kosztów przez właściciela chatflow. Może to prowadzić do strat finansowych i nadużyć usług zewnętrznych.
Rekomendacja
Zaleca się natychmiastową aktualizację Flowise do wersji 3.1.4 lub nowszej. Należy również dodać uwierzytelnianie do punktu końcowego zamiany tekstu na mowę i walidować widoczność chatflow.
Oryginalny opis (angielski, źródło NVD)
Flowise before 3.1.4 fails to validate chatflow visibility in the unauthenticated text-to-speech endpoint, allowing attackers to abuse private chatflow TTS credentials. Unauthenticated attackers can generate unlimited text-to-speech audio using stored OpenAI or ElevenLabs API keys by providing a valid chatflow UUID, incurring costs on the chatflow owner's account.