CVE-2026-41276: Flowise: bypass de autenticação em resetPassword do AccountService
As versões do Flowise anteriores à 3.1.0 contêm um bypass de autenticação no método resetPassword da classe AccountService. O código não verifica se um token de redefinição de senha foi de fato emitido, então uma parte remota não autenticada que conheça o e-mail de um usuário pode conseguir redefinir a senha dessa conta. O registro indica correção na 3.1.0 e nenhuma exploração confirmada nas fontes consultadas.
Visão geral
O Flowise é uma interface de arrastar e soltar para criar fluxos customizados de modelos de linguagem de grande porte. Segundo o registro, uma falha no método resetPassword da classe AccountService pode permitir que uma parte remota não autenticada redefina a senha de um usuário, pois o código não confirma que um token de redefinição foi emitido. O registro informa que o problema está corrigido na 3.1.0.
Impacto
- O registro descreve um bypass completo de autenticação, com pontuação base crítica na NVD.
- Uma parte não autenticada que conheça o e-mail de um alvo poderia assumir o controle dessa conta (inferência a partir do fluxo de redefinição descrito).
- A fraqueza é classificada como CWE-287, Autenticação Inadequada.
Produtos e versões afetadas
- Produto: Flowiseai Flowise.
- Afetado: antes da 3.1.0.
- Corrigido: 3.1.0.
- A lista de correções do registro está vazia. A versão corrigida foi extraída do texto da descrição e da referência de aviso do fornecedor.
Status de exploração
- O registro mostra que esta CVE não consta no catálogo KEV da CISA, portanto essa fonte não confirma exploração ativa.
- Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
- Os dados SSVC do registro classificam a exploração como prova de conceito e a automatização como não.
- Uma referência de aviso do fornecedor no registro traz uma marcação relacionada a exploit; essa marcação não confirma uso real.
Correção e mitigação
- Atualize o Flowise para a 3.1.0 ou versão posterior, conforme informado no registro.
- Enquanto a atualização não for aplicada, limite a exposição de rede das instalações do Flowise, especialmente a partir de redes não confiáveis, e restrinja o acesso às funções de gerenciamento de contas sempre que possível.
- Após a correção, revise contas em busca de alterações de senha que os titulares não solicitaram.
Orientações de detecção
- Revise os logs da aplicação e do servidor web em busca de atividade de redefinição de senha que não corresponda aos fluxos esperados iniciados pelo usuário.
- Procure logins bem-sucedidos logo após eventos de redefinição de senha, especialmente de origens desconhecidas.
- Trate bloqueios de conta ou alterações de credenciais sem explicação como possíveis indicadores e investigue.
Limitações das informações disponíveis
- O registro não traz notas de correção do fornecedor nem uma lista detalhada das versões dentro do intervalo afetado.
- Não houve validação técnica independente nas fontes consultadas.
- A entrada EPSS do registro traz uma data que deve ser conferida na fonte atual antes do uso.
- Não é possível saber, a partir do registro, se outros forks, implantações ou configurações são afetados.
Perguntas frequentes
Quais versões do Flowise são afetadas por esta CVE?
Segundo o registro, as versões anteriores à 3.1.0 são afetadas, e o problema está corrigido na 3.1.0.
A exploração exige autenticação?
Não. O registro informa que a autenticação não é necessária para explorar esta vulnerabilidade.
Esta CVE é conhecida por ser explorada na natureza?
O registro mostra que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
O que os administradores devem fazer primeiro?
Atualizar o Flowise para a 3.1.0 ou posterior, limitar a exposição de rede das instalações afetadas e revisar contas em busca de alterações de senha inesperadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.