CVE-2026-100608 in Flowise
Zusammenfassung
von VulDB • 26.09.2026
Flowise bis Version 3.1.4 erzwingt keine Autorisierung auf dem BullMQ-Admin-Dashboard. Wenn der Server im Queue-Modus mit aktiviertem Dashboard und nicht im Cloud-Modus läuft (MODE=queue, ENABLE_BULLMQ_DASHBOARD=true und !isCloud()), ist die Mount-Punkt /admin/queues nur durch die Middleware verifyTokenForBullMQDashboard geschützt, die das JWT validiert, jedoch keine Rollen-, Berechtigungs- oder Workspace/Organisations-Scope-Prüfung durchführt; der Mount liegt außerdem außerhalb von /api/v1/*, sodass die globale API-Gateway-Richtlinie nicht zur Anwendung kommt. Infolgedessen kann jeder authentifizierte Benutzer – einschließlich des Benutzers mit den geringsten Berechtigungen in einer beliebigen Mandantenumgebung (Tenant) – auf die vollständige Bull-Board-Benutzeroberfläche zugreifen und alle Warteschlangen sowie Job-Payloads über die gesamte Instanz hinweg einsehen, darunter Chat-Eingaben und overrideConfig (die Anmeldeinformationen und Prompts enthalten können), chatflow.flowData-Grafikdefinitionen mit benutzerdefiniertem Funktionsquellcode, Credential-IDs und System-Prompts, Chat-IDs, Dateien sowie die ursprüngliche orgId/workspaceId. Die Schreibaktionen des Dashboards (retry, remove, promote, clean) sind ebenfalls mandantenübergreifend nutzbar. Zum Zeitpunkt der Bekanntgabe ist keine gepatchte Version verfügbar.
If you want to get best quality of vulnerability data, you may have to visit VulDB.