In Flowise il problema non è un crash né un semplice bypass di login: chi sfrutta la falla può farsi accettare come utente già autenticato. Se la sessione decide chi entra, un cookie forgiato diventa una chiave valida e l’accesso appare come attività normale.
CSIRT Italia segnala una vulnerabilità critica che colpisce tutte le versioni precedenti alla 3.1.0. Il difetto consente di forgiare cookie di sessione validi, aggirare l’autenticazione e impersonare utenti arbitrari, con possibile esposizione di dati e integrazioni raggiungibili da quell’account.
La correzione indicata dal vendor è l’aggiornamento a Flowise 3.1.0. Per chi usa la piattaforma come interfaccia interna a prompt, flussi e sistemi collegati, il confine da proteggere non è solo la password: è la validazione della sessione.