p PatchFirst

CVE-2026-73488

CVE-2026-73488 · Flowise before 3.1.3 IDOR via customer-default-source endpoint

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Flowise versions before 3.1.3 contain an insecure direct object reference vulnerability in the GET /api/v1/organization/customer-default-source endpoint that allows authenticated attackers to access other customers' payment and profile data by manipulating the customerId parameter. Attackers can enumerate predictable customer IDs to retrieve sensitive information including email addresses, account balances, currency types, and billing configurations without authorization checks.

CVSS 6.0 · Moyenne · EPSS 0,4% · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • flowise

    Versions du logiciel
    • ≥ 0, < 3.1.3: Concernée (semver)
    • 3.1.3: Non concernée (semver)

    Mettez à jour vers 3.1.3

  • flowise npm

    Plages de versions concernées
    • SEMVER: < 3.1.3

    Mettez à jour vers 3.1.3

Sources originales

Vérifiez votre serveur →