CVE-2025-58434

Resumen

Flowise es una interfaz de usuario de arrastrar y soltar para construir un flujo de modelo de lenguaje grande personalizado. En la versión 3.0.5 y anteriores, el endpoint 'forgot-password' en Flowise devuelve información sensible, incluyendo un 'tempToken' válido de restablecimiento de contraseña, sin autenticación ni verificación. Esto permite a cualquier atacante generar un token de restablecimiento para usuarios arbitrarios y restablecer directamente su contraseña, lo que lleva a una toma de control completa de la cuenta (ATO). Esta vulnerabilidad se aplica tanto al servicio en la nube ('cloud.flowiseai.com') como a las implementaciones de Flowise autoalojadas/locales que exponen la misma API. El commit 9e178d68873eb876073846433a596590d3d9c863 en la versión 3.0.6 asegura los endpoints de restablecimiento de contraseña. Varias medidas de remediación recomendadas están disponibles. No devolver tokens de restablecimiento ni detalles sensibles de la cuenta en las respuestas de la API. Los tokens solo deben entregarse de forma segura a través del canal de correo electrónico registrado. Asegurar que 'forgot-password' responda con un mensaje de éxito genérico independientemente de la entrada, para evitar la enumeración de usuarios. Requerir una validación fuerte del 'tempToken' (por ejemplo, de un solo uso, caducidad corta, vinculado al origen de la solicitud, validado contra la entrega por correo electrónico). Aplicar las mismas correcciones tanto a las implementaciones en la nube como a las autoalojadas/locales. Registrar y monitorear las solicitudes de restablecimiento de contraseña para detectar actividad sospechosa. Considerar la verificación multifactor para cuentas sensibles.

Fuentes