🔴 《严重安全漏洞：CVE-2026-56271》

CVSS 评分: 严重（9.3）　　状态: Received　　发布时间: 2026-07-12

漏洞简介

CVE-2026-56271 是一个存在于 Flowise 项目中的认证绕过漏洞。该漏洞源于 Flowise 企业版护照认证中间件（位于 packages/server/src/enterprise/middleware/passport/index.ts）中使用了弱硬编码的默认 JWT 密钥（secret）和默认的受众（audience）及签发者（issuer）值。

具体来说，该中间件在未设置对应的环境变量（JWT_AUTH_TOKEN_SECRET、JWT_REFRESH_TOKEN_SECRET、JWT_AUDIENCE、JWT_ISSUER）时，会静默回退（silently fall back）到以下公开已知的默认值：

  • 默认 JWT 密钥：'auth_token'（用于认证令牌）和 'refresh_token'（用于刷新令牌）
  • 默认受众（audience）：'AUDIENCE'
  • 默认签发者（issuer）：'ISSUER'

由于这些默认值是公开的、可预测的，攻击者可以利用它们伪造有效的 JWT（JSON Web Token），从而冒充任何用户，包括管理员，最终实现认证绕过（authentication bypass）。

该漏洞对应的 CWE 分类为 CWE-321（使用硬编码的加密密钥），CVSS 4.0 评分为 9.3（严重），攻击向量为网络远程攻击，无需任何权限或用户交互。

影响范围

  • 受影响版本：Flowise 3.0.13 及更早版本
  • 修复版本：Flowise 3.1.0
  • 触发条件：当环境变量 JWT_AUTH_TOKEN_SECRET、JWT_REFRESH_TOKEN_SECRET、JWT_AUDIENCE、JWT_ISSUER 未被显式设置时，系统自动使用上述硬编码默认值。

风险分析

  1. 攻击后果：

    • 完全认证绕过：攻击者无需任何有效凭证即可伪造任意用户的 JWT，包括管理员账户。
    • 权限提升：攻击者可利用伪造的管理员令牌执行高权限操作，如修改系统配置、访问敏感数据、执行任意命令等。
    • 数据泄露与系统控制：由于 CVSS 评分中机密性（Confidentiality）、完整性（Integrity）、可用性（Availability）均为高（High），攻击者可能完全控制受影响的 Flowise 实例。

  2. 攻击条件：

    • 攻击者需要能够通过网络访问 Flowise 服务的认证接口。
    • 目标系统未通过环境变量自定义 JWT 相关密钥（即使用了默认值）。

  3. 修复建议：

    • 立即升级至 Flowise 3.1.0 或更高版本。
    • 如果无法立即升级，应手动设置以下环境变量为强随机值：
      • JWT_AUTH_TOKEN_SECRET
      • JWT_REFRESH_TOKEN_SECRET
      • JWT_AUDIENCE
      • JWT_ISSUER
    • 检查现有 JWT 令牌是否已被伪造，并重置所有用户会话。

  4. 参考链接：

🔍 技术细节

字段 值
CVE ID CVE-2026-56271
CVSS 评分 9.3 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-321
发布时间 2026-07-12
最后更新 2026-07-12
状态 Received
数据来源 disclosure@vulncheck.com

🔗 参考链接