CVE-2025-58434 — إعادة تعيين كلمة المرور غير المصادق عليها في Flowise AI

نظرة عامة

معرف CVE: CVE-2025-58434
البرنامج المتأثر: Flowise AI
الإصدارات الضعيفة: <= 3.0.5
الإصدار المُصحح: 3.0.6 وما بعده
الخطورة: حرجة
المؤلف: r3nsi15
التاريخ: 2025

الوصف

تحتوي إصدارات Flowise AI حتى 3.0.5 على خلل في آلية المصادقة في عملية إعادة تعيين كلمة المرور. يقوم نقطة النهاية /api/v1/account/forgot-password بإرجاع رمز إعادة تعيين مؤقت (tempToken) مباشرة في استجابة API دون الحاجة إلى أي شكل من أشكال المصادقة المسبقة أو التحقق عبر البريد الإلكتروني.

يمكن لمهاجم غير مصادق يعرف (أو يستطيع تعداد) عنوان بريد إلكتروني صحيح أن:

تأكيد وجود البريد الإلكتروني من خلال رسالة استجابة محاولة تسجيل الدخول.
تشغيل طلب إعادة تعيين كلمة المرور لذلك البريد الإلكتروني.
استخراج tempToken مباشرة من استجابة API.
استخدام هذا الرمز لتعيين كلمة مرور جديدة عشوائية على حساب الضحية.

تتجاوز هذه الثغرة عملية التحقق المعتمدة على البريد الإلكتروني بالكامل، حيث يتم تسريب الرمز في استجابة HTTP بدلاً من إرساله فقط إلى صندوق البريد الإلكتروني لصاحب الحساب.

نقاط النهاية المتأثرة

إثبات المفهوم

الملف: CVE-2025-58434_POC.py

المتطلبات

Python 3.x
مكتبة requests

pip install requests

الاستخدام

python3 CVE-2025-58434_POC.py -e <target_email> -u <target_url> [-p <new_password>]

الوسائط

مثال

python3 CVE-2025-58434_POC.py -e [email protected] -u https://flowise.example.com -p P@ssw0rd!

المخرجات المتوقعة

[+] Email [email protected] exists!
[!] Sending forgot password request
[!] Sending reset password request
[+] Password Changed Successfully to: P@ssw0rd!

السبب الجذري

تم تصميم API إعادة تعيين كلمة المرور لإرسال tempToken إلى البريد الإلكتروني للمستخدم، لكن الخادم قام أيضًا بتضمينه مباشرة في نص استجابة JSON. وهذا يعني أن أي مستدعي — سواء كان مصادقًا أم لا — يتلقى الرمز فور تقديم الطلب، مما يجعل خطوة تسليم البريد الإلكتروني غير ذات صلة.

بالإضافة إلى ذلك، يمكن تعداد البريد الإلكتروني لأن نقطة نهاية تسجيل الدخول تُرجع رسالة خطأ مميزة ("Incorrect Email or Password") فقط عند وجود البريد الإلكتروني، مما يجعل تأكيد الحسابات الصالحة أمرًا تافهًا قبل شن الهجوم.

الإصلاح

الترقية إلى Flowise AI 3.0.6 أو أحدث، والذي يزيل الرمز من استجابة API.
تأكد من إرسال tempToken حصريًا عبر عنوان البريد الإلكتروني المسجل.
قم بتطبيق تحديد معدل على نقطة نهاية forgot-password لمنع إساءة الاستخدام.
قم بتطبيع رسائل خطأ تسجيل الدخول لمنع تعداد البريد الإلكتروني (على سبيل المثال، إرجاع نفس الرسالة دائمًا بغض النظر عن وجود البريد الإلكتروني).

إخلاء المسؤولية

تم توفير إثبات المفهوم هذا لأغراض التعليم والبحث الأمني المصرح به فقط. استخدام هذا البرنامج النصي ضد الأنظمة دون إذن كتابي صريح غير قانوني وغير أخلاقي. لا يتحمل المؤلف والمساهمون أي مسؤولية عن سوء الاستخدام.

`/api/v1/auth/login`	POST	يُستخدم للتحقق من وجود حساب البريد الإلكتروني
`/api/v1/account/forgot-password`	POST	يُشغل إعادة التعيين ويُسرب `tempToken` في الاستجابة
`/api/v1/account/reset-password`	POST	يُكمل تغيير كلمة المرور باستخدام الرمز

`-e`	`--email`	نعم	عنوان البريد الإلكتروني للحساب المستهدف
`-u`	`--url`	نعم	عنوان URL الأساسي لمثيل Flowise
`-p`	`--password`	لا	كلمة المرور الجديدة لتعيينها (الافتراضي: `password`)

Flowise-CVE-2025-58434-PasswordReset

الأكثر شعبية