Flowise 密码重置账户接管（ATO）

仅供研究和测试使用！如果此工具未按预期使用，我对生产基础设施造成的任何损害概不负责。仅可在您拥有或获准测试的系统上使用！

用法

usage: CVE-2025-58434-PasswordResetNew.py [-h] -u URL -e EMAIL -p PASSWORD

Flowise Password Reset Exploit (ATO)

options:
  -h, --help            show this help message and exit
  -u, --url URL         Base URL of the Flowise instance (e.g. http://target.com)
  -e, --email EMAIL     Target user's email address
  -p, --password PASSWORD
                        New password to set

Example: python exploit.py -u http://target.com -e [email protected] -p NewPass123!

概述

Flowise 中的一个严重漏洞允许未经身份验证的攻击者通过密码重置功能完全接管用户账户。

/api/v1/account/forgot-password 端点错误地返回了一个有效的密码重置令牌（tempToken）以及敏感用户数据。该令牌可被立即重用来重置账户密码，无需任何验证。

受影响版本

CVE-2025-58434 是一个严重的身份验证/授权漏洞，影响 Flowise（云版和自托管版）3.0.5 及更早版本。

严重性

CVSS v3.1: 9.8（严重） 向量： AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

漏洞详情

忘记密码 API 端点：

• 接受一个电子邮件地址
• 在响应中返回敏感用户数据
• 包含一个用于重置密码的有效 tempToken

由于令牌被直接暴露：

• 无需访问电子邮件
• 无需用户交互
• 无需身份验证
• 仅需要一个有效的账户电子邮件