CVE-2026-100608 in Flowise
Riassunto
di VulDB • 26/09/2026
Flowise fino alla versione 3.1.4 non applica l'autorizzazione sulla dashboard di amministrazione di BullMQ. Quando il server è in esecuzione in modalità coda con la dashboard abilitata e non in modalità cloud (MODE=queue, ENABLE_BULLMQ_DASHBOARD=true e !isCloud()), il mount /admin/queues è protetto solo dal middleware verifyTokenForBullMQDashboard, che valida il JWT ma non esegue controlli di ruolo, autorizzazione o scope su workspace/organizzazione; inoltre, tale mount si trova al di fuori della directory /api/v1/*, quindi la gateway API globale non si applica. Di conseguenza, qualsiasi utente autenticato — incluso il membro con i privilegi più bassi in qualsiasi tenant — può accedere all'intera UI Bull-Board e visualizzare tutte le code e i payload dei job su tutta l'istanza, inclusi input di chat e overrideConfig (che possono contenere credenziali e prompt), definizioni del grafo chatflow.flowData con codice sorgente di funzioni personalizzate, ID delle credenziali e system prompts, chatIds, file e orgId/workspaceId di origine. Le azioni in scrittura della dashboard (retry, remove, promote, clean) sono inoltre utilizzabili attraverso i tenant. Al momento dell'avviso non è disponibile alcuna versione patchata.
If you want to get best quality of vulnerability data, you may have to visit VulDB.