CVE-2026-56271: Kritisk JWT-fejl i Flowise giver adgang som admin
Flowise før 3.1.0 bruger offentligt kendte standard JWT-nøgler, så angribere kan forfalske login og få adgang som administrator. Opdatér til 3.1.0.
Hvad er det?
CVE-2026-56271 er en sårbarhed i Flowise, et open source-værktøj til at bygge AI-arbejdsgange og chatbots. Fejlen ligger i den kode, der udsteder JWT-tokens (JSON Web Token, et digitalt bevis for at man er logget ind). Hvis administratorer ikke selv har sat bestemte miljøvariabler med hemmelige nøgler, falder Flowise tilbage på faste standardværdier som ‘auth_token’ og ‘refresh_token’. Disse standardværdier står i den offentlige kildekode, så enhver kan læse dem og selv skrive et gyldigt login-token. Fejlen er klassificeret som CWE-321, brug af hardcodede kryptografiske nøgler.
Hvem rammer det?
Det rammer virksomheder, der selv driver Flowise (enterprise-udgaven) på egne servere eller i egen sky, i version 3.0.13 og tidligere. Særligt udsatte er installationer, hvor man ikke har sat miljøvariablerne JWT_AUTH_TOKEN_SECRET, JWT_REFRESH_TOKEN_SECRET, JWT_AUDIENCE og JWT_ISSUER til unikke værdier ved opsætning, men i stedet har brugt standardopsætningen.
Hvad kan ske?
En angriber kan uden brugernavn eller kodeord skrive sit eget gyldige login-token og logge ind som en hvilken som helst bruger, inklusive administrator. Det giver fuld adgang til virksomhedens AI-flows, gemte data, forbindelser til andre systemer og eventuelle API-nøgler, der er gemt i Flowise. Angriberen kan læse, ændre og slette data samt oprette nye administratorer.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ikke login, ingen handling fra en bruger og kan udføres over internettet mod en sårbar server. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed. Der er ikke oplyst aktiv udnyttelse i naturen på offentliggørelsestidspunktet, men fordi standardnøglerne er kendte og angrebet er enkelt at udføre, kan det udnyttes af enhver, der finder en sårbar installation.
Hvad gør jeg nu?
Følgende skridt lukker hullet og begrænser skaden, hvis I allerede har brugt standardopsætningen.
- Opdatér Flowise til version 3.1.0 eller nyere.
- Kan I ikke opdatere med det samme, så sæt straks JWT_AUTH_TOKEN_SECRET, JWT_REFRESH_TOKEN_SECRET, JWT_AUDIENCE og JWT_ISSUER til lange, unikke og tilfældige værdier, og genstart tjenesten.
- Gennemgå logfiler for login og administratorhandlinger, I ikke selv genkender.
- Rotér alle API-nøgler og hemmeligheder, der er gemt i Flowise, da de kan være eksponeret.
- Gennemtving log-ud for alle brugere, så eksisterende tokens ikke længere virker.
- Er I i tvivl om, hvorvidt installationen har været udsat, eller mangler I ressourcer til at gennemgå logs, så få hjælp fra en ekstern sikkerhedsrådgiver.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer til Flowise 3.1.0 eller nyere med det samme og samtidig verificerer, at de fire miljøvariabler er sat til unikke værdier. Fordi angrebet ikke kræver login og standardnøglerne er offentligt kendte, er det ikke forsvarligt at vente til en planlagt vedligeholdelsesuge. Er opdatering ikke mulig i dag, skal I som minimum sætte de rigtige miljøvariabler og genstarte tjenesten samme dag.
Tidslinje
Konkrete eksempler
Selvhostet AI-chatbot hos en dansk produktionsvirksomhed
En dansk produktionsvirksomhed har opsat Flowise internt til at bygge en AI-chatbot til kundeservice og har koblet den til virksomhedens CRM-system. Ved opsætningen blev standardkonfigurationen brugt, og de fire JWT-miljøvariabler blev aldrig ændret. En angriber, der finder serveren tilgængelig fra internettet, forfalsker et administratortoken ud fra de offentligt kendte standardværdier og får dermed adgang til CRM-integrationen og de API-nøgler, der er gemt i Flowise.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I kører Flowise enterprise i version 3.0.13 eller tidligere, og I ikke selv har sat miljøvariablerne JWT_AUTH_TOKEN_SECRET, JWT_REFRESH_TOKEN_SECRET, JWT_AUDIENCE og JWT_ISSUER til egne værdier.
Hvordan tjekker vi, om vores opsætning bruger standardnøglerne?
Se konfigurationen eller miljøvariablerne for jeres Flowise-installation. Hvis de fire nævnte variabler ikke er sat eller er tomme, bruger systemet de sårbare standardværdier.
Kan vi vente til weekenden med at opdatere?
Det frarådes. Angrebet kræver hverken login eller brugerhandling, og standardnøglerne er offentligt kendte, så risikoen er til stede, så snart sårbarheden er offentliggjort.
Er det nok bare at ændre miljøvariablerne, eller skal vi også opdatere?
At sætte egne miljøvariabler lukker hullet med det samme, men vi anbefaler stadig at opdatere til 3.1.0 eller nyere for at få den fulde rettelse og eventuelle andre sikkerhedsforbedringer.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Finder I tegn på, at nogen har logget ind uretmæssigt eller tilgået persondata, skal I vurdere anmeldelse til Datatilsynet efter gældende regler, og vi anbefaler at kontakte en sikkerhedsrådgiver for at afklare omfanget først.
Påvirker det også Flowise Cloud eller kun selvhostede installationer?
Sårbarheden ligger i den enterprise-godkendelseskode, som primært bruges af selvhostede og on-premise installationer. Kontrollér med jeres leverandør eller driftsansvarlige, hvilken udgave I kører, hvis I er i tvivl.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Flowise before 3.1.0 (affected versions 3.0.13 and earlier) uses weak hardcoded default JWT secrets (‘auth_token’, ‘refresh_token’) and default audience and issuer values (‘AUDIENCE’, ‘ISSUER’) in the enterprise passport authentication middleware (packages/server/src/enterprise/middleware/passport/index.ts). When the corresponding environment variables (JWT_AUTH_TOKEN_SECRET, JWT_REFRESH_TOKEN_SECRET, JWT_AUDIENCE, JWT_ISSUER) are not set, the application silently falls back to these publicly known defaults, allowing an attacker to forge valid JWTs and impersonate any user, including administrators, resulting in authentication bypass.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.