CVE-2025-58434 — Redefinição de Senha Não Autenticada do Flowise AI

Visão Geral

CVE ID: CVE-2025-58434
Software Afetado: Flowise AI
Versões Vulneráveis: <= 3.0.5
Versão Corrigida: 3.0.6 e posteriores
Gravidade: Crítica
Autor: r3nsi15
Data: 2025

Descrição

As versões do Flowise AI até e incluindo a 3.0.5 contêm uma falha de autenticação quebrada no fluxo de redefinição de senha. O endpoint /api/v1/account/forgot-password retorna um token temporário de redefinição (tempToken) diretamente na sua resposta da API, sem exigir qualquer forma de autenticação ou verificação por e-mail.

Um atacante não autenticado que conhece (ou consegue enumerar) um endereço de e-mail válido pode:

1. Confirmar se o e-mail existe por meio de uma mensagem de resposta de tentativa de login.
2. Disparar uma solicitação de redefinição de senha para esse e-mail.
3. Extrair o tempToken diretamente da resposta da API.
4. Usar esse token para definir uma nova senha arbitrária na conta da vítima.

Essa vulnerabilidade contorna completamente o fluxo de verificação baseado em e-mail, pois o token é vazado na resposta HTTP em vez de ser enviado apenas para a caixa de entrada do proprietário da conta.

Endpoints Afetados

Prova de Conceito

Arquivo: CVE-2025-58434_POC.py

Requisitos

• Python 3.x
• Biblioteca requests

pip install requests

Uso

python3 CVE-2025-58434_POC.py -e <email_alvo> -u <url_alvo> [-p <nova_senha>]

Argumentos

Exemplo

python3 CVE-2025-58434_POC.py -e [email protected] -u https://flowise.exemplo.com -p P@ssw0rd!

Saída Esperada

[+] Email [email protected] existe!
[!] Enviando solicitação de forgot password
[!] Enviando solicitação de reset password
[+] Senha alterada com sucesso para: P@ssw0rd!

Causa Raiz

A API de redefinição de senha foi projetada para enviar o tempToken para o e-mail do usuário, mas o servidor também o incluiu diretamente no corpo da resposta JSON. Isso significa que qualquer chamador — autenticado ou não — recebe o token imediatamente ao fazer a solicitação, tornando a entrega por e-mail irrelevante.

Além disso, a enumeração de e-mails é possível porque o endpoint de login retorna uma mensagem de erro distinta ("Incorrect Email or Password") apenas quando o e-mail existe, tornando trivial confirmar contas válidas antes de lançar o ataque.

Remediação

• Atualizar para o Flowise AI 3.0.6 ou posterior, que remove o token da resposta da API.
• Garantir que o tempToken seja transmitido exclusivamente através do endereço de e-mail registrado.
• Implementar limitação de taxa (rate limiting) no endpoint de forgot-password para prevenir abusos.
• Normalizar as mensagens de erro de login para evitar enumeração de e-mails (por exemplo, sempre retornar a mesma mensagem independentemente de o e-mail existir).

Aviso Legal

Esta prova de conceito é fornecida apenas para fins educacionais e de pesquisa de segurança autorizada. O uso deste script contra sistemas sem permissão explícita por escrito é ilegal e antiético. O autor e os contribuidores não assumem nenhuma responsabilidade por uso indevido.