CVE-2026-56271
Açıklama
3.1.0 öncesindeki Flowise (etkilenen sürümler 3.0.13 ve öncesi), kurumsal pasaport kimlik doğrulama ara yazılımında (packages/server/src/enterprise/middleware/passport/index.ts) zayıf sabitlenmiş varsayılan JWT sırları ('auth_token', 'refresh_token') ile varsayılan hedef kitle ve yayıncı değerleri ('AUDIENCE', 'ISSUER') kullanmaktadır. İlgili ortam değişkenleri (JWT_AUTH_TOKEN_SECRET, JWT_REFRESH_TOKEN_SECRET, JWT_AUDIENCE, JWT_ISSUER) ayarlanmadığında uygulama sessizce bu kamuya açık varsayılanlara geri döner; bu durum bir saldırganın geçerli JWT'ler oluşturmasına ve yöneticiler dahil herhangi bir kullanıcıyı taklit etmesine olanak tanıyarak kimlik doğrulama atlatmaya yol açar.
Nasıl düzeltilir
- flowiseai flowise3.1.0 ya da sonraki bir sürüm
- flowise3.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| flowiseai flowise | v < 3.1.0 | 3.1.0 |
| flowisenpm | v < 3.1.0 | 3.1.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.