PT-2026-51774
CVE-2026-56269
·
تاريخ النشر
2026-04-16
·
تاريخ التحديث
2026-06-26
الوصف من
CVSS 3.1
4.6
متوسطةالمقاييسAV:L/AC:H/PR:H/UI:R/S:U/C:H/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Flowise الأقدم من 3.1.0
الوصف
يستخدم البرنامج قيمة افتراضية ضعيفة ومُبرمجة بشكل ثابت وهي «Secre$t» لمتغير البيئة
TOKEN HASH SECRET في الملف packages/server/src/enterprise/utils/tempTokenUtils.ts عندما لا يتم تكوين المتغير. يُستخدم هذا السر لاشتقاق مفتاح AES-256-CBC (معيار التشفير المتقدم مع تسلسل كتل التشفير) لتشفير معرّفات المستخدمين ومعرّفات مساحات العمل داخل حقل «meta» في JWT (رموز الويب JSON). يمكن للمهاجم الذي يعرف السر الافتراضي فك تشفير هذه البيانات الوصفية لاستخراج المعرّفات الداخلية أو إعادة تشفير القيم التي تم التلاعب بها. على الرغم من أن توقيع JWT يتم التحقق من صحته بشكل منفصل، فإن الكشف عن هذه البيانات الوصفية والتلاعب بها قد يسهل الوصول غير المصرح به إلى البيانات أو تصعيد الامتيازات.التوصيات
قم بالتحديث إلى الإصدار 3.1.0 أو أحدث.
قم بتكوين متغير البيئة
TOKEN HASH SECRET بقيمة عشوائية قوية تحتوي على ما لا يقل عن 32 بايت من الإنتروبيا.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾