Impatto Sistemico

Critico (81.02)

Sintesi

Disponibili Proof of Concept (PoC) per lo sfruttamento di 6 nuove vulnerabilità, di cui 2 con gravità “critica” e 4 con gravità “alta”, presenti in Flowise, piattaforma per la creazione e gestione di applicazioni e flussi basati sull’intelligenza artificiale.

Tipologia

• Privilege Escalation
• Information Disclosure
• Authentication Bypass

Descrizione e potenziali impatti

Nel dettaglio, la vulnerabilità identificata tramite la CVE-2026-100610, di tipo “Privilege Escalation”, e con CVSS 4.0 pari a 7.7, è dovuta ad una gestione non adeguata dei parametri forniti in input dall’utente e all’assenza di adeguati controlli di autorizzazione. Un attaccante remoto autenticato con privilegi ridotti potrebbe sfruttare tale vulnerabilità tramite richieste HTTP opportunamente predisposte al fine di accedere o eliminare dati appartenenti ad altri utenti e spazi di lavoro, con possibile esposizione di configurazioni e informazioni sensibili.

La vulnerabilità identificata tramite la CVE-2026-100609, di tipo “Information Disclosure”, e con CVSS 4.0 pari a 7.6, è dovuta ad una gestione non adeguata dei parametri forniti in input dall’utente e all’assenza di adeguati controlli sull’appartenenza delle credenziali allo spazio di lavoro dell’utente richiedente. Un attaccante remoto autenticato potrebbe sfruttare tale vulnerabilità tramite richieste HTTP opportunamente predisposte al fine di indurre il sistema a decifrare e utilizzare credenziali appartenenti ad altri spazi di lavoro, con conseguente accesso non autorizzato a risorse associate.

La vulnerabilità identificata tramite la CVE-2026-100608, di tipo “Authentication Bypass”, e con CVSS 4.0 pari a 8.7, è dovuta all’assenza di adeguati controlli di autorizzazione e di separazione tra spazi di lavoro nella console di amministrazione delle code. Un attaccante remoto autenticato con privilegi ridotti potrebbe sfruttare tale vulnerabilità tramite richieste HTTP opportunamente predisposte al fine di eludere i meccanismi di autorizzazione, accedere alle code e ai relativi dati di più spazi di lavoro e compiere operazioni di gestione sugli stessi, con possibile esposizione di credenziali, configurazioni, dati delle conversazioni e altre informazioni sensibili.

La vulnerabilità identificata tramite la CVE-2026-100607, e con CVSS 4.0 pari a 9.2, è dovuta ad una gestione non adeguata dell’associazione tra identità utente e metodo di autenticazione. Un attaccante remoto non autenticato potrebbe sfruttare tale vulnerabilità tramite richieste HTTPS opportunamente predisposte al fine di autenticarsi utilizzando l’indirizzo di posta elettronica di un utente esistente e ottenere accesso al relativo account, inclusi flussi, credenziali e chiavi API.

La vulnerabilità identificata tramite la CVE-2026-100606, di tipo “Authentication Bypass”, e con CVSS 4.0 pari a 9.2, interessa Flowise in modalità Enterprise con autenticazione SSO abilitata. Questa vulnerabilità è dovuta ad una gestione non adeguata dei parametri forniti in input dall’utente nel processo di autenticazione e attivazione degli account invitati. Un attaccante remoto non autenticato, in grado di autenticarsi presso un fornitore SSO configurato utilizzando l’indirizzo di posta elettronica di un utente invitato, potrebbe sfruttare tale vulnerabilità tramite richieste HTTPS opportunamente predisposte al fine di eludere i meccanismi previsti per la verifica dell’invito, attivare l’account e ottenere l’accesso all’organizzazione associata.

La vulnerabilità identificata tramite la CVE-2026-100605, e con CVSS 4.0 pari a 7.5, è dovuta all’assenza di adeguati controlli di autorizzazione sulle funzionalità di gestione dei messaggi delle conversazioni. Un attaccante remoto autenticato, in possesso di una chiave API con privilegi ridotti, potrebbe sfruttare tale vulnerabilità tramite richieste HTTP opportunamente predisposte al fine di accedere alle cronologie delle conversazioni, ai prompt e alle risposte dei modelli, nonché eliminare messaggi senza disporre delle autorizzazioni richieste.

Prodotti e/o versioni affette

Flowise, tutte le versioni

N.B.: essendo cessato lo sviluppo del prodotto, non verranno rilasciati nuovi aggiornamenti di sicurezza

Azioni di mitigazione

In considerazione dell’annunciata cessazione delle attività di sviluppo e supporto di Flowise, si suggerisce agli utilizzatori della piattaforma di pianificare la valutazione e l’eventuale adozione di soluzioni alternative, al fine di mitigare i rischi derivanti dall’assenza di futuri aggiornamenti correttivi e di sicurezza.