CVE-2026-56278

Gdy zmienna środowiskowa EXPRESS_SESSION_SECRET nie jest ustawiona, oprogramowanie domyślnie korzysta z hardkodowanego sekretu 'flowise' zdefiniowanego wprost w publicznym kodzie źródłowym (packages/server/src/enterprise/middleware/passport/index.ts). Znajomość tego sekretu pozwala atakującemu na wygenerowanie kryptograficznie poprawnie podpisanego ciasteczka sesji dla dowolnego użytkownika, w tym administratora. Serwer akceptuje tak sfałszowane ciasteczko jako legalne, przyznając napastnikowi pełny dostęp do sesji podszywając się pod wybraną tożsamość.

Atakujący zdalnie, bez żadnego uwierzytelnienia, może podszyć się pod dowolnego użytkownika systemu — łącznie z administratorami — i uzyskać pełny dostęp do danych oraz funkcji aplikacji. Skutkuje to całkowitym przejęciem kont i kompromitacją poufności oraz integralności danych przetwarzanych przez Flowise.

Należy zaktualizować Flowise do wersji 3.1.0 lub nowszej. Jako natychmiastowe obejście przed aktualizacją należy ustawić zmienną środowiskową EXPRESS_SESSION_SECRET na silną, losową, unikalną wartość, aby nadpisać niebezpieczny domyślny sekret.

Flowise w wersjach 3.0.13 i wcześniejszych (wszystkie wersje przed 3.1.0), gdy zmienna środowiskowa EXPRESS_SESSION_SECRET nie jest jawnie skonfigurowana przez administratora.

Podatność dotyczy wyłącznie instalacji, w których administrator nie skonfigurował zmiennej EXPRESS_SESSION_SECRET. Szczegóły techniczne, w tym sam podatny sekret, są publicznie widoczne w kodzie źródłowym na GitHub, co znacząco obniża próg wejścia dla potencjalnych atakujących.