CVE-2026-56278: Hardkodet hemmelighed i Flowise
Flowise før 3.1.0 bruger en fast, offentligt kendt kode som sessionsnøgle. Opdatér til 3.1.0 eller sæt jeres egen nøgle.
Hvad er det?
CVE-2026-56278 er en sårbarhed i Flowise, et værktøj til at bygge kunstig intelligens-arbejdsgange med lidt eller ingen kode. Programmet bruger express-session, et modul der laver signerede login-cookies til at holde brugere logget ind. Hvis man ikke selv sætter miljøvariablen EXPRESS_SESSION_SECRET, som styrer nøglen der signerer disse cookies, falder Flowise tilbage på en fast standardværdi, ordet ‘flowise’. Den værdi står åbent i kildekoden, som alle kan finde. En angriber, der kender koden, kan derfor selv lave en gyldig login-cookie og optræde som en hvilken som helst bruger, uden at kende adgangskode eller have en konto.
Hvem rammer det?
Sårbarheden rammer alle installationer af Flowise i version 3.0.13 og tidligere, der ikke selv har sat miljøvariablen EXPRESS_SESSION_SECRET til en unik værdi. Det gælder både selvhostede installationer hos virksomheder og kommuner, der bruger Flowise til at bygge chatbots eller automatiserede arbejdsgange med sprogmodeller, og installationer sat op via standardguider, hvor variablen ofte springes over.
Hvad kan ske?
En angriber kan uden login forfalske en session-cookie og logge ind som administrator i Flowise. Herfra kan vedkommende se og ændre arbejdsgange, hente API-nøgler til tjenester som OpenAI eller andre sprogmodeller, og få adgang til data og forbindelser, som Flowise er koblet til, for eksempel databaser eller interne systemer. For en dansk virksomhed betyder det risiko for lækage af følsomme data og forretningshemmeligheder gemt i arbejdsgangene, samt misbrug af betalte API-nøgler.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, ingen handling fra en bruger, og kan udføres over internettet med lav teknisk kompleksitet. Fortrolighed og integritet rammes hårdt, fordi angriberen kan læse og ændre data som en vilkårlig bruger, mens selve driften af systemet ikke påvirkes direkte. Der er ikke oplyst om aktiv udnyttelse i praksis, men fordi standardnøglen er offentligt kendt, kræver et angreb ingen forudgående efterforskning fra angriberens side.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden, hvis nogen allerede har udnyttet det:
- Opdatér Flowise til version 3.1.0 eller nyere, hvor fejlen er rettet.
- Kan opdatering ikke ske med det samme, så sæt miljøvariablen EXPRESS_SESSION_SECRET til en unik, tilfældig værdi og genstart tjenesten. Det lukker hullet, selv på ældre versioner.
- Tving alle brugere til at logge ind igen ved at nulstille eksisterende sessioner, så gamle cookies ikke længere virker.
- Gennemgå logs for usædvanlig aktivitet, herunder login fra ukendte IP-adresser eller uventede ændringer i arbejdsgange.
- Skift API-nøgler og andre hemmeligheder, der er gemt i Flowise, hvis I ikke kan udelukke misbrug.
- Hent ekstern hjælp, hvis I ikke selv kan verificere opsætningen af EXPRESS_SESSION_SECRET eller finde ud af, om nogen har udnyttet fejlen.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer Flowise til version 3.1.0 med det samme, da fejlen er kritisk og nem at udnytte for en angriber, der kender den offentligt kendte standardnøgle. Kan opdatering ikke ske i dag, skal I som minimum sætte en unik værdi for EXPRESS_SESSION_SECRET nu og planlægge opdateringen snarest. Det er ikke forsvarligt at vente til en normal driftsopdatering, fordi angrebet ikke kræver login eller adgang til jeres netværk udefra.
Tidslinje
Konkrete eksempler
Intern chatbot hos dansk servicevirksomhed
En dansk servicevirksomhed bruger Flowise til at bygge en intern chatbot, der trækker på kundedata og en API-nøgle til en sprogmodel. Installationen er sat op efter en standardguide, og EXPRESS_SESSION_SECRET er aldrig blevet ændret. En angriber, der kender den offentligt kendte standardnøgle, forfalsker en administrator-cookie, logger ind uden adgangskode og henter API-nøglen samt adgang til de arbejdsgange, der indeholder kundeoplysninger.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-56278?
I er ramt, hvis I kører Flowise i version 3.0.13 eller tidligere, og ikke selv har sat miljøvariablen EXPRESS_SESSION_SECRET til en unik værdi. Tjek jeres konfigurationsfiler eller miljøvariabler for at se, om den er sat.
Hvordan tjekker vi, om nogen har udnyttet fejlen?
Gennemgå login-logs for Flowise for ukendte IP-adresser, usædvanlige tidspunkter eller adgang fra brugere, der normalt ikke logger ind. Se også efter ændringer i arbejdsgange eller API-nøgler, som I ikke selv har lavet.
Kan vi vente til weekenden med at opdatere?
Nej, ikke uden at sætte en unik EXPRESS_SESSION_SECRET som midlertidig løsning. Fejlen kræver hverken login eller adgang til jeres interne netværk, så risikoen er til stede, indtil enten opdateringen eller den midlertidige rettelse er på plads.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Hvis I finder tegn på, at nogen har fået adgang til personoplysninger via den forfalskede login, kan det udløse anmeldepligt efter databeskyttelsesreglerne. Kontakt jeres databeskyttelsesrådgiver eller en sikkerhedsrådgiver for at vurdere den konkrete sag.
Er det nok at sætte EXPRESS_SESSION_SECRET, eller skal vi også opdatere?
At sætte en unik værdi for EXPRESS_SESSION_SECRET lukker hullet med det samme, men vi anbefaler alligevel at opdatere til 3.1.0, da opdateringen sikrer, at fremtidige installationer og genstarter ikke ved en fejl falder tilbage på standardværdien.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Flowise before 3.1.0 (affected versions 3.0.13 and earlier) uses a weak hardcoded default secret (‘flowise’) for the express-session middleware when the EXPRESS_SESSION_SECRET environment variable is not set (packages/server/src/enterprise/middleware/passport/index.ts). Because this default secret is publicly visible in the source code, an attacker can forge valid signed session cookies to impersonate any user and bypass authentication.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.