CVE-2025-58434 - Flowise AI Unauthentifizierter Passwort-Reset

Überblick

CVE-ID: CVE-2025-58434
Betroffene Software: Flowise AI
Verwundbare Versionen: <= 3.0.5
Behobene Version: 3.0.6 und später
Schweregrad: Kritisch
Autor: arensballiu
Datum: 2025

Beschreibung

Flowise AI-Versionen bis einschließlich 3.0.5 enthalten eine Schwachstelle bei der Authentifizierung im Passwort-Reset-Ablauf. Der Endpunkt /api/v1/account/forgot-password gibt ein temporäres Reset-Token (tempToken) direkt in seiner API-Antwort zurück, ohne dass eine vorherige Authentifizierung oder E-Mail-Verifizierung erforderlich ist.

Ein nicht authentifizierter Angreifer, der eine gültige E-Mail-Adresse kennt (oder aufzählen kann), kann:

1. Bestätigen, ob die E-Mail existiert, über die Antwortnachricht eines Login-Versuchs.
2. Eine Passwort-Reset-Anfrage für diese E-Mail auslösen.
3. Das tempToken direkt aus der API-Antwort extrahieren.
4. Dieses Token verwenden, um ein beliebiges neues Passwort für das Konto des Opfers zu setzen.

Diese Schwachstelle umgeht den vorgesehenen E-Mail-basierten Verifizierungsablauf vollständig, da das Token in der HTTP-Antwort preisgegeben wird, anstatt nur an das E-Mail-Postfach des Kontoinhabers gesendet zu werden.

Betroffene Endpunkte

Endpunkt	Methode	Zweck
/api/v1/auth/login	POST	Wird verwendet, um zu prüfen, ob ein E-Mail-Konto existiert
/api/v1/account/forgot-password	POST	Löst den Reset aus und gibt tempToken in der Antwort preis
/api/v1/account/reset-password	POST	Schließt die Passwortänderung mit dem Token ab

Proof of Concept

Datei: CVE-2025-58434_POC.py

Voraussetzungen

• Python 3.x
• requests-Bibliothek

pip install requests

Verwendung

python3 CVE-2025-58434_POC.py -e <target_email> -u <target_url> [-p <new_password>]

Argumente

Flag	Langform	Erforderlich	Beschreibung
-e	--email	Ja	E-Mail-Adresse des Zielkontos
-u	--url	Ja	Basis-URL der Flowise-Instanz
-p	--password	Nein	Neues zu setzendes Passwort (Standard: password)

Beispiel

python3 CVE-2025-58434_POC.py -e [email protected] -u https://flowise.example.com -p P@ssw0rd!

Erwartete Ausgabe

[+] Email [email protected] exists!
[!] Sending forgot password request
[!] Sending reset password request
[+] Password Changed Successfully to: P@ssw0rd!

Ursache

Die Passwort-Reset-API wurde so konzipiert, dass das tempToken an die E-Mail des Benutzers gesendet wird, aber der Server fügte es auch direkt in den JSON-Antwortkörper ein. Das bedeutet, dass jeder Aufrufer, ob authentifiziert oder nicht, das Token sofort nach der Anfrage erhält, wodurch der E-Mail-Zustellungsschritt irrelevant wird.

Darüber hinaus ist die E-Mail-Aufzählung möglich, weil der Login-Endpunkt eine eindeutige Fehlermeldung ("Incorrect Email or Password") nur dann zurückgibt, wenn die E-Mail existiert, was es trivial macht, gültige Konten zu bestätigen, bevor der Angriff gestartet wird.

Behebung

• Aktualisieren Sie auf Flowise AI 3.0.6 oder später, wodurch das Token aus der API-Antwort entfernt wird.
• Stellen Sie sicher, dass das tempToken ausschließlich über die registrierte E-Mail-Adresse übermittelt wird.
• Implementieren Sie Ratenbegrenzung auf dem Forgot-Password-Endpunkt, um Missbrauch zu verhindern.
• Normalisieren Sie Login-Fehlermeldungen, um die E-Mail-Aufzählung zu verhindern (z. B. immer dieselbe Meldung zurückgeben, unabhängig davon, ob die E-Mail existiert).

Haftungsausschluss

Dieses Proof of Concept wird ausschließlich für Bildungszwecke und autorisierte Sicherheitsforschung bereitgestellt. Die Verwendung dieses Skripts gegen Systeme ohne ausdrückliche schriftliche Genehmigung ist illegal und unethisch. Der Autor und die Mitwirkenden übernehmen keine Haftung für Missbrauch.