### Resumo Existe uma vulnerabilidade de referência direta de objetos inseguros (IDOR) no **GET /api/v 1 Endpoint /organisation/cliente- default-source**. Esta falha permite que um atacante autenticado evite as verificações de autorização e recupere informações de pagamentos sensíveis e perfil de outros clientes manipulando o parâmetro 'Id do cliente'. Os dados expostos incluem endereços de e- mail, saldos de conta, tipos de moeda e configurações de faturamento internas. ### Detalhes O aplicativo não implementa o controle de acesso a nível de objeto adequado. Enquanto o endpoint requer uma sessão/token válida, ele não verifica se o usuário requerente tem a autoridade para acessar o ID do cliente específico fornecido na string de consulta. Quando um pedido é feito para: GET /api/v 1 /organization/cliente-default-source?clienteId=cus_XXXX. O servidor processa o pedido com base unicamente na existência de uma sessão válida, retornando os dados associados ao ID independentemente da identidade do proprietário dos dados. Uma vez que os IDs do cliente seguem um padrão previsível (formatado com uma stripe cus_...), um atacante poderá potencialmente enumerar esses IDs para raspar os dados do cliente.
### PoC 1. Para reproduzir a vulnerabilidade, siga estes passos. 2. Faça login na sua conta no cloud.flowiseai.com. 3. Capture um pedido para o endpoint fonte de pagamento usando uma ferramenta proxy (por exemplo, Burp Suite). 4. Mude o parâmetro customerId na URL para o ID do usuário alvo (por exemplo, cus_U) 9 ajkQvu 0 e 67 uH).
Execute o pedido: ``` GET / api/v 1 /organization/client-default-source?clientId=cus_U 9 ajkQvu 0 e 67 uH HTTP/ 2 Host: cloud.flowiseai.com Cookie: [YOUR_AUTHENTICAted_COOKIES]... ``` Resposta: ``` { "id": "cus_U 9 ajkQvu 0 e 67 uH", "objeto": "cliente", "email": "truongnguyen 210044 @gmail.com", "balance": 0, "moneda": "usd", "invoice_settings": { "custom_fields": null, "default_payment_method": null }, "livemode": true... } ```` O servidor retorna um 200 Situação OK com os dados privados do cliente alvo. ### Impacto - Tipo de vulnerabilidade: Controle de Acesso Roto (IDOR). - Partes impactadas: Todos os usuários e organizações registrados na plataforma FlowiseAI Cloud. - Conseqüências: * Violação da privacidade dos dados: exposição de informações pessoalmente identificáveis (PII), como endereços de e- mail. - Perdas de informação financeira: divulgação de saldos de contas, configurações de moedas e metadados da factura.
- Risco de Conformidade: Violação potencial da regulamentação de proteção de dados (por exemplo, RGPD) devido ao acesso não autorizado aos perfis de faturamento do usuário. Registro de aconselhamento: GHSA- 2364 - jh 4 q- m 9 VM. Não há nenhum identificador adicional listado.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 04 T 14: 16: 46.000 Z e lista a sua última modificação como 2026 - 08 - 04 T 14: 16: 46.000 Z. Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 4: CVSS: 4.0 /AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/África do Sul:N.
Informações sobre software e versão afetadas: fluxo do pacote npm — ECOSISTEM: introduzido 0, corrigido 3.1.3. Classificação e evidência: identificadores de fraqueza CWE- 639. O registro contém 5 suporte de referências nestes tipos: WEB, PACKAGE.