CVE-2026-73604
ŚrednieCVSS 6.5Streszczenie
Flowise przed wersją 3.1.3 zawiera niekompletną podatność na redakcję poświadczeń w punkcie końcowym GET /api/v1/credentials/:id, który zwraca odszyfrowane sekrety w postaci zwykłego tekstu. Uwierzytelnieni użytkownicy z uprawnieniem credentials:view mogą pobierać wrażliwe dane, w tym adresy URL połączeń z bazami danych z osadzonymi hasłami, JSON kont usług chmurowych z kluczami prywatnymi oraz klucze API, wywołując ten punkt końcowy.
Ocena ryzyka
Ryzyko obejmuje ujawnienie wrażliwych danych uwierzytelniających, co może prowadzić do nieautoryzowanego dostępu do baz danych, usług chmurowych i innych zasobów. Naruszenie poufności może mieć poważne konsekwencje dla organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Flowise do wersji 3.1.3 lub nowszej. Należy również ograniczyć uprawnienia credentials:view tylko do zaufanych użytkowników i monitorować dostęp do tego punktu końcowego.
Oryginalny opis (angielski, źródło NVD)
Flowise before 3.1.3 contains an incomplete credential redaction vulnerability in the GET /api/v1/credentials/:id endpoint that returns decrypted secrets in plaintext. Authenticated users with credentials:view permission can retrieve sensitive data including database connection URLs with embedded passwords, cloud service account JSON with private keys, and API keys by calling this endpoint.