CVE-2025-58434 — Reimpostazione password non autenticata di Flowise AI

Panoramica

CVE ID: CVE-2025-58434
Software interessato: Flowise AI
Versioni vulnerabili: <= 3.0.5
Versione corretta: 3.0.6 e successive
Gravità: Critica
Autore: r3nsi15
Data: 2025

Descrizione

Le versioni di Flowise AI fino alla 3.0.5 inclusa contengono una falla di autenticazione nel flusso di reimpostazione della password. L'endpoint /api/v1/account/forgot-password restituisce un token di reset temporaneo (tempToken) direttamente nella sua risposta API senza richiedere alcuna forma di autenticazione preventiva o verifica dell'email.

Un attaccante non autenticato che conosce (o può enumerare) un indirizzo email valido può:

1. Verificare se l'email esiste tramite il messaggio di risposta a un tentativo di login.
2. Inviare una richiesta di reimpostazione password per quell'email.
3. Estrarre il tempToken direttamente dalla risposta API.
4. Utilizzare il token per impostare una nuova password arbitraria sull'account della vittima.

Questa vulnerabilità aggira completamente il flusso di verifica basato sull'email previsto, poiché il token viene divulgato nella risposta HTTP anziché essere inviato solo alla casella di posta elettronica del proprietario dell'account.

Endpoint interessati

Prova di concetto

File: CVE-2025-58434_POC.py

Requisiti

• Python 3.x
• libreria requests

pip install requests

Utilizzo

python3 CVE-2025-58434_POC.py -e <target_email> -u <target_url> [-p <new_password>]

Argomenti

Esempio

python3 CVE-2025-58434_POC.py -e [email protected] -u https://flowise.example.com -p P@ssw0rd!

Output previsto

[+] Email [email protected] exists!
[!] Sending forgot password request
[!] Sending reset password request
[+] Password Changed Successfully to: P@ssw0rd!

Causa principale

L'API di reimpostazione password è stata progettata per inviare il tempToken all'email dell'utente, ma il server lo includeva anche direttamente nel corpo della risposta JSON. Ciò significa che qualsiasi chiamante — autenticato o meno — riceve il token immediatamente dopo aver effettuato la richiesta, rendendo irrilevante il passaggio di consegna via email.

Inoltre, l'enumerazione delle email è possibile perché l'endpoint di login restituisce un messaggio di errore distinto ("Incorrect Email or Password") solo quando l'email esiste, rendendo banale confermare account validi prima di lanciare l'attacco.

Rimedio

• Aggiornare a Flowise AI 3.0.6 o versioni successive, che rimuove il token dalla risposta API.
• Assicurarsi che il tempToken venga trasmesso esclusivamente tramite l'indirizzo email registrato.
• Implementare il rate limiting sull'endpoint forgot-password per prevenire abusi.
• Normalizzare i messaggi di errore del login per prevenire l'enumerazione delle email (ad esempio, restituire sempre lo stesso messaggio indipendentemente dal fatto che l'email esista).

Dichiarazione di non responsabilità

Questa prova di concetto è fornita esclusivamente a scopo educativo e di ricerca sulla sicurezza autorizzata. L'utilizzo di questo script contro sistemi senza esplicita autorizzazione scritta è illegale e non etico. L'autore e i collaboratori non si assumono alcuna responsabilità per un uso improprio.