PT-2026-57552 · Flowise · Flowise

Kolega-Ai-Dev · Publicado 2026-07-12 · Atualizado 2026-07-12 · CVE-2026-56271

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.0

Descrição O middleware de autenticação enterprise passport em packages/server/src/enterprise/middleware/passport/index.ts utiliza segredos e valores de audiência e emissor padrão fracos e hardcoded. Quando as variáveis de ambiente JWT AUTH TOKEN SECRET, JWT REFRESH TOKEN SECRET, JWT AUDIENCE e JWT ISSUER não estão configuradas, a aplicação retorna silenciosamente para esses valores conhecidos publicamente. Isso permite que um invasor forje JSON Web Tokens (JWTs) válidos — um meio compacto e seguro para URLs de representar reivindicações a serem transferidas entre duas partes — e personifique qualquer usuário, incluindo administradores, resultando em um bypass de autenticação completo e na tomada de controle da instância.

Recomendações Atualize para a versão 3.1.0. Configure as variáveis de ambiente JWT AUTH TOKEN SECRET, JWT REFRESH TOKEN SECRET, JWT AUDIENCE e JWT ISSUER com valores seguros e exclusivos.

Correção

Enumeração de Fraquezas

CWE-321

Identificadores relacionados

CVE-2026-56271

Produtos afetados

Flowise

Referências · 7

• https://github.com/FlowiseAI/Flowise/security/advisories/GHSA-cc4f-hjpj-g9p8 · Aviso do Fabricante
• https://vulncheck.com/advisories/flowise-weak-default-jwt-secrets-in-authentication-middleware · Nota
• https://twitter.com/infoflowcloud/status/2076341079524147291 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-56271 · Nota de Segurança
• https://twitter.com/OrizonCyber/status/2076282940288295166 · Publicação no Twitter
• https://twitter.com/UpwindMDR/status/2076300037160612157 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2076339916825387173 · Publicação no Twitter