p PatchFirst

CVE-2026-73604

CVE-2026-73604 · Flowise before 3.1.3 Credential Exposure via API

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Flowise before 3.1.3 contains an incomplete credential redaction vulnerability in the GET /api/v1/credentials/:id endpoint that returns decrypted secrets in plaintext. Authenticated users with credentials:view permission can retrieve sensitive data including database connection URLs with embedded passwords, cloud service account JSON with private keys, and API keys by calling this endpoint.

CVSS 7.1 · Высокий · EPSS 0,4% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • flowise

    Версии
    • ≥ 0, < 3.1.3: Затронуто (semver)
    • 3.1.3: Не затронуто (semver)

    Обновитесь до 3.1.3

  • flowise npm

    Затронутые диапазоны версий
    • SEMVER: < 3.1.3

    Обновитесь до 3.1.3

Первоисточники

Проверьте свой сервер →