CVE-2026-100608 in Flowise
요약
\~에 의해 VulDB • 2026. 09. 26.
Flowise 3.1.4 이전 버전에서는 BullMQ 관리 대시보드에서 권한 부여가 강제되지 않습니다. 서버가 큐 모드(MODE=queue)로 실행되고 대시보드가 활성화되어 있으며 클라우드 모드가 아닌 경우(ENABLE_BULLMQ_DASHBOARD=true 및 !isCloud()), /admin/queues 마운트는 verifyTokenForBullMQDashboard 미들웨어에 의해서만 보호됩니다. 이 미들웨어는 JWT를 검증하지만 역할, 권한 또는 워크스페이스/조직 범위 확인은 수행하지 않습니다. 또한 해당 마운트는 /api/v1/* 외부에 위치하므로 전역 API 게이트가 적용되지 않습니다. 그 결과, 모든 인증된 사용자(모든 테넌트의 최소 권한을 가진 구성원 포함)는 전체 Bull-Board UI에 접근하여 인스턴스 전반의 모든 큐와 작업 페이로드를 볼 수 있습니다. 여기에는 자격 증명과 프롬프트를 담고 있을 수 있는 chat inputs 및 overrideConfig, 커스텀 함수 소스 코드가 포함된 chatflow.flowData 그래프 정의, 자격 증명 ID 및 시스템 프롬프트, chatIds, 파일 및 기원 orgId/workspaceId가 포함됩니다. 대시보드의 쓰기 작업(재시도, 제거, 승격, 정리) 역시 테넌트 간에 사용 가능합니다. 권고 사항 기준 시점에는 패치된 버전이 제공되지 않습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.