p PatchFirst

CVE-2026-56267

CVE-2026-56267 · Flowise - PII Disclosure via Unauthenticated Forgot Password Endpoint

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Flowise before 3.0.13 contains an information exposure vulnerability in the POST /api/v1/account/forgot-password endpoint that returns full user objects including PII to unauthenticated attackers. An attacker can enumerate valid email addresses and harvest sensitive user data including user IDs, names, account status, and timestamps by sending requests with known email addresses.

CVSS 6.9 · Moyenne · EPSS 0,5% · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • flowise

    Versions du logiciel
    • ≥ 0, < 3.0.13: Concernée (semver)
    • 3.0.13: Non concernée (semver)

    Mettez à jour vers 3.0.13

  • flowise npm

    Plages de versions concernées
    • SEMVER: < 3.0.13

    Mettez à jour vers 3.0.13

Sources originales

Vérifiez votre serveur →