Flowise パスワードリセットによるアカウント乗っ取り (ATO)

研究およびテスト目的専用です。このツールを意図した用途以外で使用した場合、実稼働中のインフラに生じた損害について私は一切責任を負いません。所有するシステム、またはテストの許可を得たシステムでのみ使用してください。

使い方

usage: CVE-2025-58434-PasswordResetNew.py [-h] -u URL -e EMAIL -p PASSWORD

Flowise Password Reset Exploit (ATO)

options:
  -h, --help            show this help message and exit
  -u, --url URL         Base URL of the Flowise instance (e.g. http://target.com)
  -e, --email EMAIL     Target user's email address
  -p, --password PASSWORD
                        New password to set

Example: python exploit.py -u http://target.com -e [email protected] -p NewPass123!

概要

Flowise の重大な脆弱性により、認証されていない攻撃者がパスワードリセット機能を介してユーザーアカウントを完全に乗っ取ることが可能です。

/api/v1/account/forgot-password エンドポイントは、有効なパスワードリセットトークン（tempToken）を機密のユーザーデータとともに不適切に返します。このトークンは、検証なしで直ちにアカウントのパスワードリセットに再利用される可能性があります。

影響を受けるバージョン

CVE-2025-58434 は、Flowise（クラウドおよびセルフホスト）のバージョン 3.0.5 以前に影響を及ぼす重大な認証/認可の脆弱性です。

深刻度

CVSS v3.1: 9.8 (緊急) Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

脆弱性の詳細

forgot-password API エンドポイントは次の動作をします：

メールアドレスを受け付ける
レスポンス内の機密ユーザーデータを返す
パスワードリセット用の有効な tempToken を含む

トークンが直接公開されるため：

メールへのアクセスは不要
ユーザーの操作は不要
認証は不要
有効なアカウントのメールアドレスのみが必要

CVE-2025-58434-Unauthenticated-Password-Reset-Flowwise

人気