Flowise 비밀번호 재설정 계정 탈취 (ATO)

연구 및 테스트 목적으로만 사용하십시오! 이 도구를 의도된 용도로 사용하지 않아 운영 중인 인프라에 발생한 손상에 대해 저는 책임지지 않습니다. 소유한 시스템 또는 테스트 권한이 있는 시스템에서만 사용하십시오!

사용법

usage: CVE-2025-58434-PasswordResetNew.py [-h] -u URL -e EMAIL -p PASSWORD

Flowise Password Reset Exploit (ATO)

options:
  -h, --help            show this help message and exit
  -u, --url URL         Base URL of the Flowise instance (e.g. http://target.com)
  -e, --email EMAIL     Target user's email address
  -p, --password PASSWORD
                        New password to set

Example: python exploit.py -u http://target.com -e [email protected] -p NewPass123!

요약

Flowise의 심각한 취약점으로 인해 인증되지 않은 공격자가 비밀번호 재설정 기능을 통해 사용자 계정을 완전히 탈취할 수 있습니다.

/api/v1/account/forgot-password 엔드포인트는 민감한 사용자 데이터와 함께 유효한 비밀번호 재설정 토큰(tempToken)을 부적절하게 반환합니다. 이 토큰은 어떠한 검증 절차 없이 즉시 계정 비밀번호 재설정에 재사용될 수 있습니다.

영향을 받는 버전

CVE-2025-58434는 Flowise(클라우드 및 자체 호스팅) 버전 3.0.5 이하에 영향을 미치는 치명적인 인증/권한 부여 취약점입니다.

심각도

CVSS v3.1: 9.8 (치명적) 벡터: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

취약점 세부 정보

비밀번호 재설정(forgot-password) API 엔드포인트:

• 이메일 주소를 입력받음
• 응답에 민감한 사용자 데이터를 반환함
• 비밀번호 재설정을 위한 유효한 tempToken을 포함함

토큰이 직접 노출되므로:

• 이메일 접근이 필요 없음
• 사용자 상호 작용이 필요 없음
• 인증이 필요 없음
• 유효한 계정 이메일만 있으면 됨