CVE-2026-56271

Nome do Software Vulnerável e Versões Afetadas Flowise versões anteriores a 3.1.0

Description O middleware de autenticação enterprise passport em packages/server/src/enterprise/middleware/passport/index.ts utiliza valores padrão fixos e fracos para segredos JWT (auth token, refresh token) e valores de audiência/emissor (AUDIENCE, ISSUER). Se as variáveis de ambiente JWT AUTH TOKEN SECRET, JWT REFRESH TOKEN SECRET, JWT AUDIENCE e JWT ISSUER não estiverem configuradas, a aplicação retorna silenciosamente para esses padrões publicamente conhecidos. Isso permite que um invasor não autenticado forje JSON Web Tokens (JWT) válidos e personifique qualquer usuário, incluindo administradores, resultando em um bypass de autenticação completo e controle total da instância.

Recommendations Atualizar para a versão 3.1.0. Configurar manualmente as variáveis de ambiente JWT AUTH TOKEN SECRET, JWT REFRESH TOKEN SECRET, JWT AUDIENCE e JWT ISSUER com segredos fortes, únicos e criptograficamente aleatórios de 256 bits ou mais.