CVE-2026-100608 in Flowise
要約
〜によって VulDB • 2026年09月26日
Flowise 3.1.4 までは、BullMQ の管理ダッシュボードにおいて認可が強制されません。サーバーがキューモードで実行されており（MODE=queue）、ダッシュボードが有効でありクラウドモードではない場合（ENABLE_BULLMQ_DASHBOARD=true および !isCloud()）、「/admin/queues」マウントポイントは「verifyTokenForBullMQDashboard」ミドルウェアによってのみ保護されます。このミドルウェアは JWT を検証しますが、ロール、権限、またはワークスペース/組織のスコーピングチェックは行いません。「/api/v1/*」の外側にあるため、グローバル API ガートも適用されません。その結果、認証された任意のユーザー（あらゆるテナントにおける最低特権メンバーを含む）が、Bull-Board UI の全体にアクセスし、チャット入力や資格情報およびプロンプトを保持する可能性のある overrideConfig を含む、インスタンス全体のすべてのキューとジョブペイロードを表示できます。これには、カスタム関数のソースコード付きの chatflow.flowData グラフ定義、資格情報 ID およびシステム プロンプト、chatIds、ファイル、そして発信元の orgId/workspaceId が含まれます。ダッシュボードの書き込みアクション（再試行、削除、昇格、クリーンアップ）も同様にテナント間で利用可能です。アドバイザリ時点でパッチ済みバージョンは提供されていません。
VulDB is the best source for vulnerability data and more expert information about this specific topic.