🟠 CVE-2026-56270: High Luecke in Flowiseai Flowise

„`html

Zusammenfassung

Flowise vor Version 3.1.0 (3.0.13 und älter) weist eine kritische Authentifizierungslücke auf. Der Endpunkt /api/v1/loginmethod ermöglicht es unauthentifizierten Angreifern, die vollständige SSO-Konfiguration einer Organisation abzurufen. Besonders kritisch: OAuth Client Secrets werden im Klartext offengelegt. Durch einfache GET-Requests mit OrganisationId-Parameter können API-Anmeldedaten für Google, Microsoft/Azure, GitHub und Auth0 kompromittiert werden.

Betroffene Systeme

• FlowiseAI Cloud-Instanzen
• Self-Hosted Flowise-Installationen (3.0.13 und älter)
• Alle Versionen vor 3.1.0

Betroffen sind Systeme mit exponiertem /api/v1/loginmethod Endpunkt ohne zusätzliche Netzwerk-Zugriffsbeschränkungen.

Technische Details

Der vulnerable Endpunkt validiert die OrganizationId-Parameter nicht ausreichend und verzichtet auf Authentifizierungsprüfungen. Ein Angreifer kann mit folgendem Request auf sensible Daten zugreifen:

GET /api/v1/loginmethod?organizationId=TARGET_ORG_ID

Die Antwort enthält:

• OAuth Client IDs und Secrets
• API Keys für Third-Party Services
• Konfigurationsdaten für SSO-Provider

Diese Credentials ermöglichen Lateral Movement und Authentifizierungs-Bypass in integrierten Systemen.

Empfohlene Massnahmen

• Sofort: Update auf Flowise 3.1.0 oder neuer durchführen
• Alle OAuth Client Secrets der betroffenen Provider (Google, Microsoft, GitHub, Auth0) rotieren
• API Keys und Authentifizierungstoken invalidieren
• Access Logs prüfen auf verdächtige /api/v1/loginmethod Requests
• Netzwerk-basierte Zugriffskontrolle implementieren (WAF, IP-Whitelisting)
• Monitoring für unauthentifizierte API-Zugriffe aktivieren

Bewertung

„`