CVE-2025-58434

Compromission de compte dans Flowise via un endpoint non sécurisé

Une vulnérabilité critique, identifiée sous le nom de CVE-2025-58434, affecte les versions 3.0.5 et antérieures de Flowise, une interface graphique pour la création de flux de modèles linguistiques.

Points clés :

• La faille réside dans l’endpoint /api/v1/account/forgot-password.
• Cet endpoint renvoie un tempToken de réinitialisation de mot de passe sans nécessiter d’authentification ni de vérification préalable.

Vulnérabilités :

• CVE-2025-58434 : Permet à un attaquant d’obtenir un jeton de réinitialisation de mot de passe pour n’importe quel utilisateur en fournissant simplement son adresse e-mail. Ce jeton peut ensuite être utilisé pour réinitialiser le mot de passe de l’utilisateur et ainsi prendre le contrôle total de son compte.

Impact :

• Cette vulnérabilité affecte la plateforme cloud de Flowise (cloud.flowiseai.com) ainsi que les déploiements locaux ou auto-hébergés qui exposent cet endpoint API.

Recommandations :

• Mettre à jour Flowise vers une version corrigée pour éliminer cette faille de sécurité.
• Si une mise à jour n’est pas immédiatement possible, il est recommandé de restreindre l’accès à l’endpoint /api/v1/account/forgot-password pour les déploiements exposés publiquement.

Source