CVE-2025-58434 — Réinitialisation de mot de passe non authentifiée dans Flowise AI

Aperçu

ID CVE : CVE-2025-58434
Logiciel concerné : Flowise AI
Versions vulnérables : <= 3.0.5
Version corrigée : 3.0.6 et ultérieures
Sévérité : Critique
Auteur : r3nsi15
Date : 2025

Description

Les versions de Flowise AI jusqu'à la 3.0.5 incluse contiennent une faille d'authentification défaillante dans le flux de réinitialisation de mot de passe. Le point d'accès /api/v1/account/forgot-password renvoie un jeton de réinitialisation temporaire (tempToken) directement dans sa réponse API sans nécessiter aucune forme d'authentification préalable ni de vérification par e-mail.

Un attaquant non authentifié qui connaît (ou peut énumérer) une adresse e-mail valide peut :

1. Confirmer si l'e-mail existe via un message de réponse de tentative de connexion.
2. Déclencher une demande de réinitialisation de mot de passe pour cet e-mail.
3. Extraire le tempToken directement de la réponse API.
4. Utiliser ce jeton pour définir un nouveau mot de passe arbitraire sur le compte de la victime.

Cette vulnérabilité contourne entièrement le flux de vérification par e-mail prévu, car le jeton est divulgué dans la réponse HTTP plutôt que d'être envoyé uniquement dans la boîte de réception de l'e-mail du propriétaire du compte.

Points d'accès concernés

Preuve de concept

Fichier : CVE-2025-58434_POC.py

Prérequis

• Python 3.x
• bibliothèque requests

pip install requests

Utilisation

python3 CVE-2025-58434_POC.py -e <target_email> -u <target_url> [-p <new_password>]

Arguments

Exemple

python3 CVE-2025-58434_POC.py -e [email protected] -u https://flowise.example.com -p P@ssw0rd!

Résultat attendu

[+] Email [email protected] exists!
[!] Sending forgot password request
[!] Sending reset password request
[+] Password Changed Successfully to: P@ssw0rd!

Cause racine

L'API de réinitialisation de mot de passe a été conçue pour envoyer le tempToken par e-mail à l'utilisateur, mais le serveur l'a également inclus directement dans le corps de la réponse JSON. Cela signifie que tout appelant — authentifié ou non — reçoit le jeton immédiatement après avoir fait la demande, rendant l'étape d'envoi par e-mail sans importance.

De plus, l'énumération des e-mails est possible car le point d'accès de connexion renvoie un message d'erreur distinct ("Incorrect Email or Password") uniquement lorsque l'e-mail existe, ce qui rend trivial la confirmation de comptes valides avant de lancer l'attaque.

Correction recommandée

• Mettez à jour vers Flowise AI 3.0.6 ou version ultérieure, qui supprime le jeton de la réponse API.
• Assurez-vous que le tempToken est transmis exclusivement via l'adresse e-mail enregistrée.
• Implémentez une limitation de débit sur le point d'accès forgot-password pour éviter les abus.
• Normalisez les messages d'erreur de connexion pour empêcher l'énumération des e-mails (par exemple, renvoyez toujours le même message, que l'e-mail existe ou non).

Avertissement

Cette preuve de concept est fournie uniquement à des fins éducatives et de recherche en sécurité autorisée. L'utilisation de ce script contre des systèmes sans autorisation écrite explicite est illégale et contraire à l'éthique. L'auteur et les contributeurs déclinent toute responsabilité en cas d'utilisation abusive.