CVE-2026-56277
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 — wyżej niż 8% wszystkich znanych CVE
Streszczenie
Podatność w Flowise przed wersją 3.1.2 polega na ustawieniu nagłówka Access-Control-Allow-Origin na stałą wartość wildcard (*) w punkcie końcowym generowania mowy (TTS). Powoduje to obejście skonfigurowanej polityki CORS serwera i umożliwia dowolnej stronie internetowej wykonywanie żądań międzyoriginowych z wykorzystaniem zapisanych poświadczeń.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku drive-by, w którym złośliwa strona internetowa może wykorzystać zapisane poświadczenia użytkownika do generowania mowy bez jego zgody, co prowadzi do nieautoryzowanego użycia zasobów i potencjalnego wycieku danych.
Rekomendacja
Należy natychmiast zaktualizować Flowise do wersji 3.1.2 lub nowszej, która usuwa tę podatność poprzez prawidłowe stosowanie skonfigurowanej polityki CORS dla punktu końcowego TTS.
Oryginalny opis (angielski, źródło NVD)
Flowise before 3.1.2 sets Access-Control-Allow-Origin to a hardcoded wildcard (*) on its text-to-speech (TTS) generation endpoint (packages/server/src/controllers/text-to-speech/index.ts), independent of the server's configured CORS policy. This bypasses the server's otherwise restrictive default CORS configuration (getCorsOptions()) and allows any webpage to make cross-origin requests that trigger TTS generation using stored credentials, enabling drive-by cross-origin credential abuse.