CVE-2025-58434 — Неаутентифицированный сброс пароля в Flowise AI

Обзор

CVE ID: CVE-2025-58434
Затронутое ПО: Flowise AI
Уязвимые версии: <= 3.0.5
Исправленная версия: 3.0.6 и новее
Критичность: Критическая
Автор: arensballiu
Дата: 2025

Описание

Версии Flowise AI до 3.0.5 включительно содержат уязвимость нарушения аутентификации в процессе сброса пароля. Конечная точка /api/v1/account/forgot-password возвращает временный токен сброса (tempToken) непосредственно в ответе API, не требуя никакой предварительной аутентификации или подтверждения по электронной почте.

Неаутентифицированный злоумышленник, который знает (или может перебрать) действительный адрес электронной почты, может:

Подтвердить существование адреса электронной почты по сообщению в ответе на попытку входа.
Инициировать запрос на сброс пароля для этого адреса.
Извлечь tempToken непосредственно из ответа API.
Использовать этот токен для установки произвольного нового пароля на учётной записи жертвы.

Эта уязвимость полностью обходит предусмотренный процесс подтверждения по электронной почте, поскольку токен утекает в HTTP-ответе, а не отправляется только на почтовый ящик владельца учётной записи.

Затронутые конечные точки

Конечная точка	Метод	Назначение
`/api/v1/auth/login`	POST	Используется для проверки существования учётной записи по электронной почте
`/api/v1/account/forgot-password`	POST	Инициирует сброс и раскрывает `tempToken` в ответе
`/api/v1/account/reset-password`	POST	Завершает смену пароля с использованием токена

Доказательство концепции

Файл: CVE-2025-58434_POC.py

Требования

Python 3.x
Библиотека requests

pip install requests

Использование

python3 CVE-2025-58434_POC.py -e <target_email> -u <target_url> [-p <new_password>]

Аргументы

Флаг	Полная форма	Обязательный	Описание
`-e`	`--email`	Да	Адрес электронной почты целевой учётной записи
`-u`	`--url`	Да	Базовый URL экземпляра Flowise
`-p`	`--password`	Нет	Новый пароль для установки (по умолчанию `password`)

Пример

python3 CVE-2025-58434_POC.py -e [email protected] -u https://flowise.example.com -p P@ssw0rd!

Ожидаемый вывод

[+] Email [email protected] exists!
[!] Sending forgot password request
[!] Sending reset password request
[+] Password Changed Successfully to: P@ssw0rd!

Первопричина

API сброса пароля был разработан для отправки tempToken на электронную почту пользователя, но сервер также включал его непосредственно в тело JSON-ответа. Это означает, что любой вызывающий, аутентифицированный или нет, немедленно получает токен при выполнении запроса, что делает этап доставки по электронной почте несущественным.

Кроме того, перебор адресов электронной почты возможен, поскольку конечная точка входа возвращает отдельное сообщение об ошибке ("Incorrect Email or Password") только при существовании адреса, что позволяет тривиально подтверждать действительные учётные записи перед запуском атаки.

Устранение

Обновитесь до Flowise AI 3.0.6 или новее, где токен удалён из ответа API.
Убедитесь, что tempToken передаётся исключительно через зарегистрированный адрес электронной почты.
Реализуйте ограничение частоты запросов на конечной точке восстановления пароля для предотвращения злоупотреблений.
Приведите сообщения об ошибках входа к единому виду для предотвращения перебора адресов электронной почты (например, всегда возвращайте одно и то же сообщение независимо от существования адреса).

Отказ от ответственности

Данное доказательство концепции предоставляется исключительно в образовательных целях и для авторизованных исследований в области безопасности. Использование этого скрипта против систем без явного письменного разрешения является незаконным и неэтичным. Автор и участники не несут ответственности за неправомерное использование.

Flowise-CVE-2025-58434-PasswordReset

Популярное