CVE-2026-56271
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Flowise przed wersją 3.1.0 (wersje 3.0.13 i wcześniejsze) używa słabych, zakodowanych na stałe domyślnych sekretów JWT ('auth_token', 'refresh_token') oraz domyślnych wartości odbiorcy i wystawcy ('AUDIENCE', 'ISSUER') w oprogramowaniu pośredniczącym uwierzytelniania passport. Gdy zmienne środowiskowe nie są ustawione, aplikacja po cichu używa tych publicznie znanych domyślnych wartości, co pozwala atakującemu na fałszowanie ważnych tokenów JWT i podszywanie się pod dowolnego użytkownika, w tym administratorów.
Ocena ryzyka
Ryzyko polega na całkowitym ominięciu uwierzytelniania, co umożliwia atakującemu uzyskanie nieautoryzowanego dostępu do aplikacji z uprawnieniami administratora, potencjalnie prowadząc do przejęcia kontroli nad systemem i wycieku danych.
Rekomendacja
Należy natychmiast zaktualizować Flowise do wersji 3.1.0 lub nowszej oraz ustawić silne, unikalne wartości dla zmiennych środowiskowych JWT_AUTH_TOKEN_SECRET, JWT_REFRESH_TOKEN_SECRET, JWT_AUDIENCE i JWT_ISSUER.
Oryginalny opis (angielski, źródło NVD)
Flowise before 3.1.0 (affected versions 3.0.13 and earlier) uses weak hardcoded default JWT secrets ('auth_token', 'refresh_token') and default audience and issuer values ('AUDIENCE', 'ISSUER') in the enterprise passport authentication middleware (packages/server/src/enterprise/middleware/passport/index.ts). When the corresponding environment variables (JWT_AUTH_TOKEN_SECRET, JWT_REFRESH_TOKEN_SECRET, JWT_AUDIENCE, JWT_ISSUER) are not set, the application silently falls back to these publicly known defaults, allowing an attacker to forge valid JWTs and impersonate any user, including administrators, resulting in authentication bypass.