Flowise のバージョン 3.0.10 未満（特に 3.0.7 以前のバージョン）には、未確認のメールアドレス変更の脆弱性があります。認証済みユーザーは、元のメールアドレスの確認や現在のパスワードの再入力を行わずに、アカウントプロフィールエンドポイントを使ってログイン識別子およびパスワード回復チャネルとして使用されるアカウントのメールアドレスを変更できます。回復用メールアドレスを変更すると、攻撃者はアカウントを乗っ取り、パスワードリセット機能を悪用できます。

ベンダ情報を参照して適切な対策を実施してください。