CVE-2025-58434 in Flowise
الملخص
بحسب VulDB • 08/08/2026
Flowise هو واجهة مستخدم تعتمد على السحب والإفلات لبناء تدفق مخصص لنماذج اللغة الكبيرة (LLM). في الإصدار 3.0.5 وما قبله، يعيد نقطة النهاية `forgot-password` في Flowise معلومات حساسة تشمل رمز إعادة تعيين كلمة مرور صالح (`tempToken`) دون الحاجة إلى المصادقة أو التحقق من الهوية. يمكّن هذا أي مهاجم من إنشاء رمز إعادة تعيين لمستخدمين عشوائيين وإعادة تعيين كلمات المرور الخاصة بهم مباشرةً، مما يؤدي إلى الاستيلاء الكامل على الحساب (ATO). تنطبق هذه الثغرة الأمنية على كلٍ من الخدمة السحابية (`cloud.flowiseai.com`) ونشر Flowise المستضاف ذاتياً/محلياً الذي يعرض نفس واجهة برمجة التطبيقات. يضمن الالتزام 9e178d68873eb876073846433a596590d3d9c863 تأمين نقاط نهاية إعادة تعيين كلمة المرور. تتوفر عدة خطوات تصحيحية موصى بها: عدم إرجاع رموز إعادة التعيين أو تفاصيل الحساب الحساسة في استجابات واجهة برمجة التطبيقات؛ يجب تسليم الرموز فقط عبر قناة البريد الإلكتروني المسجلة بشكل آمن؛ التأكد من أن نقطة النهاية `forgot-password` ترد برسالة نجاح عامة بغض النظر عن المدخلات، لتجنب تعداد المستخدمين؛ اشتراط تحقق قوي من صحة `tempToken` (مثل الاستخدام لمرة واحدة، وانتهاء صلاحية قصير، وربطه بمصدر الطلب، والتحقق منه مقابل تسليم البريد الإلكتروني)؛ تطبيق نفس الإصلاحات على كلٍ من النشر السحابي والنشر المستضاف ذاتياً/محلياً؛ تسجيل ومراقبة طلبات إعادة تعيين كلمة المرور للكشف عن الأنشطة المشبوهة؛ النظر في استخدام التحقق متعدد العوامل للحسابات الحساسة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.