CVE-2025-58434 - Flowise अनधिकृत खाता अधिग्रहण, CustomMCP RCE से जुड़ा हुआ

Flowise 3.0.5 की दो समस्याएं, एक साथ जुड़ी हुई:

1. CVE-2025-58434 - पासवर्ड-रीसेट टोकन प्रकटीकरण। POST /api/v1/account/forgot-password लक्षित उपयोगकर्ता के tempToken को सीधे JSON प्रतिक्रिया में लौटाता है। इसे POST /api/v1/account/reset-password में फीड करें ताकि किसी भी खाते के लिए एक ज्ञात पासवर्ड सेट किया जा सके, जिसमें पहला एडमिन भी शामिल है -> पूर्ण अनधिकृत खाता अधिग्रहण।
2. CustomMCP mcpServerConfig सर्वर-साइड JavaScript मूल्यांकन। एक सत्र और वर्कस्पेस API कुंजी (चरण 1 से) के साथ, POST /api/v1/node-load-method/customMCP जिसमें loadMethod=listActions है, Flowise प्रक्रिया में mcpServerConfig स्ट्रिंग का JavaScript के रूप में मूल्यांकन करता है, जिससे require('child_process').exec() RCE प्राप्त होता है। (यहां केवल ATO को कोड निष्पादन में बदलने के लिए उपयोग की गई अलग Flowise समस्या; लेखन के समय कोई CVE निर्दिष्ट नहीं है।)