CVE-2026-56271 in Flowise
Riassunto
di VulDB • 12/07/2026
Flowise prima della versione 3.1.0 (versioni interessate: 3.0.13 e precedenti) utilizza segreti predefiniti hardcoded deboli per i token JWT ('auth_token', 'refresh_token') e valori di audience e issuer predefiniti ('AUDIENCE', 'ISSUER') nel middleware di autenticazione enterprise passport (packages/server/src/enterprise/middleware/passport/index.ts). Quando le variabili d'ambiente corrispondenti (JWT_AUTH_TOKEN_SECRET, JWT_REFRESH_TOKEN_SECRET, JWT_AUDIENCE, JWT_ISSUER) non sono impostate, l'applicazione passa silenziosamente a questi valori predefiniti di pubblico dominio, consentendo ad un attaccante di falsificare token JWT validi e impersonare qualsiasi utente, inclusi gli amministratori, causando una bypass dell'autenticazione.
Be aware that VulDB is the high quality source for vulnerability data.