CVE-2026-50173
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Flow-Like przed wersją 1.0.4 przyznaje członkom aplikacji z uprawnieniami ExecuteEvents, ale bez uprawnień ReadFiles i WriteFiles, poświadczenia SAS do Azure Blob Storage z prawami zapisu i usuwania do treści aplikacji. Nawet gdy wybrano tryb InvokeNone, token SAS nadal zawiera uprawnienia rwdl dla prefiksu aplikacji.
Ocena ryzyka
Użytkownik o niskich uprawnieniach może bezpośrednio zapisywać lub usuwać bloby w treści aplikacji, co może prowadzić do nieautoryzowanej modyfikacji lub usunięcia danych.
Rekomendacja
Zaktualizuj Flow-Like do wersji 1.0.4 lub najnowszej gałęzi deweloperskiej, szczególnie w przypadku samodzielnych wdrożeń korzystających z Azure Blob Storage.
Oryginalny opis (angielski, źródło NVD)
Flow-Like is a platform for building end-to-end use cases. Prior to version 1.0.4, `GET /api/v1/apps/{app_id}/invoke/presign` grants Azure Blob Storage SAS credentials with write and delete access to app content to any app member that has `ExecuteEvents`, even when that member lacks `ReadFiles` and `WriteFiles`. The route treats file permissions as optional after the `ExecuteEvents` gate. When the caller has neither file permission, it selects `CredentialsAccess::InvokeNone`. In the Azure credential provider, `InvokeNone` still mints a `content_sas_token` for `apps/{app_id}` with `sp=rwdl`, plus user-content and log SAS tokens. The returned shared credential is enough for the low-privilege caller to directly write or delete blobs under the app content prefix. Version 1.0.4 patches the issue. Flow-Like Studio and the hosted Flow-Like Web App are not affected. These deployments use AWS-backed storage. Self-hosted deployments are only affected if they use Azure Blob Storage as the storage backend. In affected deployments, the issue only applies to authenticated app members who have workflow execution permissions but should not have app file write/delete permissions. Users of affected self-hosted Azure deployments should update to version 1.0.4 or the latest dev branch.