CVE-2025-58434

Zusammenfassung

Flowise ist eine Drag-&-Drop-Benutzeroberfläche zum Erstellen eines maßgeschneiderten Large-Language-Model-Flows. In Version 3.0.5 und früher gibt der Endpunkt `forgot-password` in Flowise ohne Authentifizierung oder Verifizierung sensible Informationen zurück, einschließlich eines gültigen `tempToken` zum Zurücksetzen des Passworts. Dies ermöglicht es jedem Angreifer, ein Reset-Token für beliebige Benutzer zu generieren und deren Passwort direkt zurückzusetzen, was zu einer vollständigen Account-Übernahme (ATO) führt. Diese Schwachstelle betrifft sowohl den Cloud-Dienst (`cloud.flowiseai.com`) als auch selbst gehostete/lokale Flowise-Bereitstellungen, die dieselbe API bereitstellen. Commit 9e178d68873eb876073846433a596590d3d9c863 in Version 3.0.6 sichert die Endpunkte zum Zurücksetzen von Passwörtern ab. Es stehen mehrere empfohlene Abhilfemaßnahmen zur Verfügung. Geben Sie keine Reset-Tokens oder sensible Kontodaten in API-Antworten zurück. Tokens dürfen nur sicher über den registrierten E-Mail-Kanal zugestellt werden. Stellen Sie sicher, dass `forgot-password` unabhängig von der Eingabe eine generische Erfolgsmeldung zurückgibt, um eine Benutzer-Enumeration zu vermeiden. Verlangen Sie eine strenge Validierung des `tempToken` (z. B. einmalige Verwendung, kurze Gültigkeitsdauer, Bindung an den Ursprung der Anfrage, Validierung gegenüber der E-Mail-Zustellung). Wenden Sie dieselben Korrekturen sowohl auf Cloud- als auch auf selbst gehostete/lokale Bereitstellungen an. Protokollieren und überwachen Sie Anfragen zum Zurücksetzen von Passwörtern auf verdächtige Aktivitäten. Erwägen Sie eine Multi-Faktor-Verifizierung für sensible Konten.

• Flowise-CVE-2025-58434-Chain-59528Exploit

  FlowiseAI CVE-2025-58434 & CVE-2025-59528 Exploit PoC, demonstriert unauthenticated ATO über Reset-Token-Lackage, gefolgt von authenticated RCE. Enthält eine reproduzierbare Docker-Laborumgebung.