CVE-2025-58434

Résumé

Flowise est une interface utilisateur de type « glisser-déposer » permettant de créer un flux personnalisé de grands modèles de langage. Dans les versions 3.0.5 et antérieures, le point de terminaison `forgot-password` de Flowise renvoie des informations sensibles, notamment un `tempToken` de réinitialisation de mot de passe valide, sans authentification ni vérification. Cela permet à n'importe quel attaquant de générer un jeton de réinitialisation pour des utilisateurs arbitraires et de réinitialiser directement leur mot de passe, conduisant à une prise de contrôle totale du compte (ATO). Cette vulnérabilité s'applique à la fois au service cloud (`cloud.flowiseai.com`) et aux déploiements Flowise auto-hébergés/locaux qui exposent la même API. Le commit 9e178d68873eb876073846433a596590d3d9c863 dans la version 3.0.6 sécurise les points de terminaison de réinitialisation de mot de passe. Plusieurs mesures de remédiation recommandées sont disponibles. Ne renvoyez pas les jetons de réinitialisation ni les informations sensibles du compte dans les réponses API. Les jetons doivent uniquement être délivrés de manière sécurisée via le canal e-mail enregistré. Assurez-vous que `forgot-password` répond avec un message de réussite générique quel que soit l'élément saisi, afin d'éviter l'énumération des utilisateurs. Exigez une validation stricte du `tempToken` (par exemple, à usage unique, expiration courte, lié à l'origine de la requête, validé par rapport à la livraison par e-mail). Appliquez les mêmes correctifs aux déploiements cloud et auto-hébergés/locaux. Consignez et surveillez les demandes de réinitialisation de mot de passe pour détecter toute activité suspecte. Envisagez une vérification multifacteur pour les comptes sensibles.

Sources