PT-2026-57552
CVE-2026-56271
·
تاريخ النشر
2026-04-16
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Flowise الأقدم من 3.1.0
الوصف
تستخدم البرمجيات الوسيطة لمصادقة جواز السفر المؤسسي الموجودة في
packages/server/src/enterprise/middleware/passport/index.ts قيمًا افتراضية ضعيفة ومُبرمجة بشكل ثابت لأسرار JWT (auth token، refresh token) وقيم الجمهور/المُصدر (AUDIENCE، ISSUER). إذا لم يتم تكوين متغيرات البيئة JWT AUTH TOKEN SECRET وJWT REFRESH TOKEN SECRET وJWT AUDIENCE وJWT ISSUER، فإن التطبيق يعود تلقائيًا إلى هذه القيم الافتراضية المعروفة للجميع. وهذا يسمح لمهاجم غير مصدق بتزوير رموز JSON Web Tokens (JWT) صالحة وانتحال صفة أي مستخدم، بما في ذلك المسؤولين، مما يؤدي إلى تجاوز كامل لعملية المصادقة والاستيلاء الكامل على المثيل.التوصيات
قم بالترقية إلى الإصدار 3.1.0.
قم بتكوين متغيرات البيئة
JWT AUTH TOKEN SECRET وJWT REFRESH TOKEN SECRET وJWT AUDIENCE وJWT ISSUER يدويًّا باستخدام أسرار قوية وفريدة وعشوائية من الناحية التشفيرية تبلغ 256 بت أو أكثر.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾