CVE-2026-100608 in Flowise
Sumário
de VulDB • 26/09/2026
O Flowise até a versão 3.1.4 não aplica autorização no painel de administração do BullMQ. Quando o servidor é executado em modo de fila com o painel habilitado e fora do modo cloud (MODE=queue, ENABLE_BULLMQ_DASHBOARD=true e !isCloud()), a montagem /admin/queues é protegida apenas pelo middleware verifyTokenForBullMQDashboard, que valida o JWT mas não realiza verificações de escopo por função, permissão ou workspace/organição; essa montagem também está fora do caminho /api/v1/*, portanto as regras globais da API não se aplicam. Como resultado, qualquer usuário autenticado — incluindo os membros com menor privilégio em qualquer tenant — pode acessar a interface completa do Bull-Board e visualizar todas as filas e payloads de jobs em toda a instância, incluindo inputs de chat e overrideConfig (que podem conter credenciais e prompts), definições de grafo chatflow.flowData com código-fonte de funções personalizadas, IDs de credenciais e system prompts, chatIds, arquivos e o orgId/workspaceId de origem. As ações de gravação do painel (retry, remove, promote, clean) também são utilizáveis entre tenants. Nenhuma versão corrigida está disponível conforme informado no advisory.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.