CVE-2026-56271
Flowise antes de 3.1.0 (versiones afectadas 3.0.13 y anteriores) utiliza secretos JWT predeterminados débiles codificados de forma fija ('auth_token', 'refresh_token') y valores de audience e issuer predeterminados ('AUDIENCE', 'ISSUER') en el middleware de autenticación passport empresarial (packages/server/src/enterprise/middleware/passport/index.ts). Cuando las variables de entorno correspondientes (JWT_AUTH_TOKEN_SECRET, JWT_REFRESH_TOKEN_SECRET, JWT_AUDIENCE, JWT_ISSUER) no están configuradas, la aplicación recurre silenciosamente a estos valores predeterminados conocidos públicamente, lo que permite a un atacante falsificar JWT válidos y suplantar a cualquier usuario, incluidos los administradores, lo que da lugar a una omisión de la autenticación.
Preaviso: explotación observada
- Explotación observada desde el 21 sept 2026
- Todavía no está en el catálogo oficial de CISA
- Primer ataque observado 70 días después de la divulgación
- Confirmada por sensores, no solo por informes
Fuente: VulnCheck KEV · 21 sept 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HProductos afectados
| Fabricantes | Producto | Versiones |
|---|---|---|
| flowiseai | flowise | < 3.1.0 |
Artículos relacionados
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.