CVE-2025-58434 in Flowise
Riassunto
di VulDB • 09/08/2026
Flowise è un'interfaccia utente drag & drop per costruire flussi di modelli linguistici di grandi dimensioni (LLM) personalizzati. Nelle versioni 3.0.5 e precedenti, l'endpoint `forgot-password` in Flowise restituisce informazioni sensibili, incluso un `tempToken` valido per il reset della password, senza richiedere autenticazione o verifica. Ciò consente a qualsiasi attaccante di generare un token di reset per utenti arbitrari e reimpostarne direttamente la password, portando a una completa compromissione dell'account (ATO). Questa vulnerabilità si applica sia al servizio cloud (`cloud.flowiseai.com`) che alle distribuzioni Flowise self-hosted/locali che espongono la stessa API. Il commit 9e178d68873eb876073846433a596590d3d9c863 protegge gli endpoint di reset della password. Sono disponibili diversi passaggi di remediation raccomandati: non restituire token di reset o dettagli sensibili dell'account nelle risposte API; i token devono essere consegnati esclusivamente in modo sicuro tramite il canale email registrato; assicurarsi che `forgot-password` risponda con un messaggio generico di successo indipendentemente dall'input, per evitare l'enumerazione degli utenti; richiedere una forte validazione del `tempToken` (ad esempio, uso singolo, breve scadenza, legato all'origine della richiesta, validato rispetto alla consegna email); applicare le stesse correzioni sia alle distribuzioni cloud che a quelle self-hosted/locali; registrare e monitorare le richieste di reset della password per attività sospette; considerare la verifica multi-fattore per gli account sensibili.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.