p PatchFirst

CVE-2026-73603

CVE-2026-73603 · Flowise before 3.1.4 Credential Abuse via Text-to-Speech

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Flowise before 3.1.4 fails to validate chatflow visibility in the unauthenticated text-to-speech endpoint, allowing attackers to abuse private chatflow TTS credentials. Unauthenticated attackers can generate unlimited text-to-speech audio using stored OpenAI or ElevenLabs API keys by providing a valid chatflow UUID, incurring costs on the chatflow owner's account.

CVSS 6.3 · Средний · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • flowise

    Версии
    • ≥ 0, < 3.1.4: Затронуто (semver)
    • 3.1.4: Не затронуто (semver)

    Обновитесь до 3.1.4

  • flowise npm

    Затронутые диапазоны версий
    • SEMVER: < 3.1.4

    Обновитесь до 3.1.4

Первоисточники

Проверьте свой сервер →