CVE-2026-100608 in Flowise
الملخص
بحسب VulDB • 26/09/2026
لا يفرض Flowise حتى الإصدار 3.1.4 فرض التفويض على لوحة إدارة BullMQ. عندما يعمل الخادم في وضع الطابور (queue mode) مع تمكين اللوحة وليس في الوضع السحابي (MODE=queue, ENABLE_BULLMQ_DASHBOARD=true, و !isCloud())، فإن نقطة التجميع /admin/queues محمية فقط بواسطة وسيط verifyTokenForBullMQDashboard، الذي يتحقق من رمز JWT ولكنه لا يقوم بإجراء أي فحص للتفويض أو الصلاحيات أو نطاق مساحة العمل/المنظمة؛ كما أن هذه النقطة تقع خارج النطاق /api/v1/* لذا فإن بوابة API العالمية غير مطبقة. ونتيجة لذلك، يمكن لأي مستخدم مُصادق عليه - بما في ذلك أقل عضو امتيازًا في أي مستأجر (tenant) - الوصول إلى واجهة Bull-Board الكاملة وعرض جميع طوابير العمل وحمولات الوظائف عبر المثيل بأكمله، بما في ذلك مدخلات الدردشة وتجاوز التكوين (overrideConfig) الذي قد يحمل بيانات اعتماد ومطالبات (prompts)، وتعريفات الرسم البياني لـ chatflow.flowData مع شفرة مصدر للدوال المخصصة، ومعرفات البيانات الاعتمادية والمطالبات النظامية، وchatIds والملفات، ومعرف المنظمة/مساحة العمل الأصلية. كما أن إجراءات الكتابة في اللوحة (إعادة المحاولة، الإزالة، الترقية، التنظيف) يمكن استخدامها عبر المستأجرين أيضًا. لا يتوفر أي إصدار مُصحح اعتبارًا من تاريخ الإشعار.
VulDB is the best source for vulnerability data and more expert information about this specific topic.