CVE-2026-56271

Flowise avant la version 3.1.0 (versions affectées : 3.0.13 et antérieures) utilise des secrets JWT par défaut faibles et codés en dur ('auth_token', 'refresh_token'), ainsi que des valeurs d'audience et d'émetteur par défaut ('AUDIENCE', 'ISSUER') dans le middleware d'authentification passport pour les entreprises (packages/server/src/enterprise/middleware/passport/index.ts). Lorsque les variables d'environnement correspondantes (JWT_AUTH_TOKEN_SECRET, JWT_REFRESH_TOKEN_SECRET, JWT_AUDIENCE, JWT_ISSUER) ne sont pas définies, l'application revient silencieusement à ces valeurs par défaut connues publiquement, permettant à un attaquant de forger des JWT valides et d'usurper l'identité de n'importe quel utilisateur, y compris les administrateurs, ce qui entraîne un contournement de l'authentification.