FlowiseAI: PoC pubbliche per lo sfruttamento di 6 vulnerabilità

FlowiseAI: PoC pubbliche per lo sfruttamento di 6 vulnerabilità

Disponibili Proof of Concept (PoC) per lo sfruttamento di 6 nuove vulnerabilità, di cui 2 con gravità "critica" e 4 con gravità "alta", presenti in Flowise, piattaforma per la creazione e gestione di applicazioni e flussi basati sull’intelligenza artificiale.

Nel dettaglio, la vulnerabilità identificata tramite la CVE-2026-100610, di tipo "Privilege Escalation", e con CVSS 4.0 pari a 7.7, è dovuta ad una gestione non adeguata dei parametri forniti in input dall'utente e all'assenza di adeguati controlli di autorizzazione. Un attaccante remoto autenticato con privilegi ridotti potrebbe sfruttare tale vulnerabilità tramite richieste HTTP opportunamente predisposte al fine di accedere o eliminare dati appartenenti ad altri utenti e spazi di lavoro, con possibile esposizione di configurazioni e informazioni sensibili.

La vulnerabilità identificata tramite la CVE-2026-100609, di tipo "Information Disclosure", e con CVSS 4.0 pari a 7.6, è dovuta ad una gestione non adeguata dei parametri forniti in input dall'utente e all'assenza di adeguati controlli sull'appartenenza delle credenziali allo spazio di lavoro dell'utente richiedente. Un attaccante remoto autenticato potrebbe sfruttare tale vulnerabilità tramite richieste HTTP opportunamente predisposte al fine di indurre il sistema a decifrare e utilizzare credenziali appartenenti ad altri spazi di lavoro, con conseguente accesso non autorizzato a risorse associate.