CVE-2026-73488
ŚrednieCVSS 6.0Streszczenie
Flowise przed wersją 3.1.3 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu w punkcie końcowym GET /api/v1/organization/customer-default-source, która umożliwia uwierzytelnionym atakującym dostęp do danych płatności i profili innych klientów poprzez manipulację parametrem customerId. Atakujący mogą enumerować przewidywalne identyfikatory klientów, aby pobrać wrażliwe informacje, w tym adresy e-mail, salda kont, typy walut i konfiguracje rozliczeń bez kontroli autoryzacji.
Ocena ryzyka
Ryzyko obejmuje naruszenie prywatności i poufności danych klientów, co może prowadzić do kradzieży tożsamości, oszustw finansowych i naruszeń zgodności. Dostęp do danych płatności może być wykorzystany do nieautoryzowanych transakcji.
Rekomendacja
Zaleca się natychmiastową aktualizację Flowise do wersji 3.1.3 lub nowszej. Należy również wdrożyć odpowiednią kontrolę dostępu i autoryzację na poziomie obiektu dla punktu końcowego customer-default-source.
Oryginalny opis (angielski, źródło NVD)
Flowise versions before 3.1.3 contain an insecure direct object reference vulnerability in the GET /api/v1/organization/customer-default-source endpoint that allows authenticated attackers to access other customers' payment and profile data by manipulating the customerId parameter. Attackers can enumerate predictable customer IDs to retrieve sensitive information including email addresses, account balances, currency types, and billing configurations without authorization checks.