CVE-2026-81827
ŚrednieCVSS 6.9Streszczenie
Dotknięte wersje Flowintel nieprawidłowo próbowały zweryfikować adresy e-mail logowania, wywołując Email(email), co nie wykonuje walidacji pola WTForms, a jedynie konstruuje obiekt walidatora. W rezultacie nieprawidłowe dane wejściowe kontrolowane przez atakującego mogły przejść przez proces logowania i zostać zapisane w logach istotnych dla bezpieczeństwa. Podatny kod wstawiał podany e-mail zarówno do logu ostrzegawczego, jak i do niestandardowego rejestratora audytu. Ponieważ znaki CR/LF nie były escapowane, nieuwierzytelniony atakujący mógł potencjalnie wstrzyknąć dodatkowe fizyczne linie logów lub sfałszować mylące wpisy logów.
Ocena ryzyka
Ryzyko obejmuje możliwość manipulacji logami bezpieczeństwa przez nieuwierzytelnionego atakującego, co może prowadzić do ukrycia ataków lub wprowadzenia w błąd personelu odpowiedzialnego za bezpieczeństwo. Może to również umożliwić wstrzyknięcie fałszywych wpisów logów.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie Flowintel do wersji zawierającej poprawkę, która poprawnie waliduje adresy e-mail i escapuje znaki CR/LF. Należy również przejrzeć istniejące logi pod kątem podejrzanych wpisów.
Oryginalny opis (angielski, źródło NVD)
Affected versions of Flowintel incorrectly attempted to validate login email addresses by calling Email(email). That does not perform WTForms field validation; it merely constructs a validator object. Consequently, malformed attacker-controlled email input could continue through the login process and be written to security-relevant logs. The vulnerable code inserted the supplied email into both a warning log and the custom audit logger. Since CR/LF characters were not escaped, an unauthenticated attacker could potentially inject additional physical log lines or forge misleading log entries. The patch corrects the validation call to Email()(form, form.email), changes the standard logging call to parameterized logging, and introduces _sanitize_log_fragment() so carriage returns and line feeds are encoded instead of creating new records. Version impacted >=3.3.0