CVE-2026-81662

Dotknięte wersje Flowintel nie unieważniają istniejących sesji uwierzytelnionych po zmianie hasła użytkownika. Oznacza to, że jeśli atakujący posiada ważną sesję (np. z wcześniejszego dostępu lub skradziony token), zmiana hasła przez ofiarę nie kończy dostępu atakującego – sesja pozostaje aktywna do naturalnego wygaśnięcia. Poprawka wykrywa zmiany hasła i jawnie wywołuje _invalidate_user_sessions(user.id) po aktualizacji bazy danych, w funkcjach edit_user_core() i admin_edit_user_core(). Dotknięte wersje >=3.3.0.

Dotknięte wersje Flowintel nieprawidłowo próbowały zweryfikować adresy e-mail logowania, wywołując Email(email), co nie wykonuje walidacji pola WTForms, a jedynie konstruuje obiekt walidatora. W rezultacie nieprawidłowe dane wejściowe kontrolowane przez atakującego mogły przejść przez proces logowania i zostać zapisane w logach istotnych dla bezpieczeństwa. Podatny kod wstawiał podany e-mail zarówno do logu ostrzegawczego, jak i do niestandardowego rejestratora audytu. Ponieważ znaki CR/LF nie były escapowane, nieuwierzytelniony atakujący mógł potencjalnie wstrzyknąć dodatkowe fizyczne linie logów lub sfałszować mylące wpisy logów.

Dotknięte wersje Flowintel konstruują HTML osi czasu przy użyciu pól obiektów MISP kontrolowanych przez atakującego, takich jak UUID obiektu, nazwa obiektu, wartość atrybutu, typ atrybutu, komentarz, wartości pierwszej/ostatniej obserwacji oraz flaga IDS. Te wartości były bezpośrednio konkatenowane do ciągów HTML przed renderowaniem. Zatwierdzone zmiany w kodzie wyraźnie stwierdzają, że DOMPurify usuwa wektory XSS, ale nadal przepuszcza inne elementy HTML, takie jak formularze.

Dotknięte wersje Flowintel udostępniają punkt końcowy API /my_assignment/user każdemu uwierzytelnionemu użytkownikowi API. Punkt końcowy akceptuje parametr user_id identyfikujący użytkownika, którego przypisania mają zostać zwrócone, ale wcześniej nie miał żadnego ograniczenia roli poza ogólnym uwierzytelnieniem API. W rezultacie uwierzytelniony użytkownik z niższymi uprawnieniami mógł potencjalnie zapytać o informacje o przypisaniach innego użytkownika, podając jego identyfikator.

Flowintel w wersjach 3.3.0 i nowszych zawiera wadę autoryzacji w administracyjnym API edycji użytkowników. Administrator organizacji mógł edytować konto pełnego administratora w swojej organizacji, w tym zmieniać jego hasło, co jest niedozwolone. Poprawka dodaje sprawdzenie wyższego poziomu uprawnień, które zwraca błąd 403, jeśli edytowany użytkownik jest administratorem.

Flowintel w wersjach 3.3.0 i nowszych zawiera podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) w wielu endpointach zadań. Trasy nie sprawdzały, czy zadanie należy do podanego przypadku, co pozwalało uwierzytelnionemu użytkownikowi z dostępem do jednego przypadku na manipulowanie zadaniami z innego przypadku. Poprawka dodaje wymóg powiązania zadania z przypadkiem oraz sprawdza, czy note_id należy do bieżącego zadania.

Dotknięte wersje Flowintel renderują tytuły wydarzeń kalendarza za pomocą innerHTML. Ponieważ tytuły pochodzą z tytułów spraw, użytkownik mogący tworzyć lub modyfikować tytuły spraw może przechowywać treści HTML lub skrypty, które są później interpretowane przez przeglądarkę, gdy inny użytkownik przegląda kalendarz. Poprawka zmienia innerHTML na textContent.

Podatność w Flowintel umożliwia wstrzyknięcie JavaScript przez złośliwe bloki Mermaid w notatkach przypadków. Atakujący z uprawnieniami do tworzenia lub edycji notatek może zapisać spreparowany payload, który wykona się u innych użytkowników.

W Flowintel w wersjach >=3.3.0 istnieje możliwość zmiany wartości konfiguracyjnej LOG_FILE przez ustawienia systemowe bez ograniczania jej do nazwy pliku w zamierzonym katalogu logów. Administrator może ustawić LOG_FILE na dowolną ścieżkę, co pozwala atakującemu na zapis kontrolowanych danych do nieprzeznaczonych plików, a następnie wykorzystać zachowanie aplikacji do wykonania kodu.

Podatność w Flowintel pozwala na przetwarzanie treści notatek kontrolowanych przez atakującego przez Pandoc i XeLaTeX podczas eksportu do PDF, co może prowadzić do odczytu lokalnych plików z serwera Flowintel i włączenia ich do wygenerowanego eksportu.