CVE-2025-58434

Flowise fərdiləşdirilmiş böyük dil modeli axınları yaratmaq üçün sürüşdür və burax (drag & drop) istifadəçi interfeysidir. Versiya 3.0.5 və daha əvvəlki versiyalarda Flowise-dakı `forgot-password` son nöqtəsi (endpoint), autentifikasiya və ya təsdiqləmə olmadan etibarlı şifrə sıfırlama `tempToken`-ı daxil olmaqla həssas məlumatları qaytarır. Bu, hər hansı hücumçunun ixtiyari istifadəçilər üçün sıfırlama tokeni yaratmasına və onların şifrələrini birbaşa sıfırlamasına imkan verir ki, bu da hesabın tam ələ keçirilməsinə (ATO) səbəb olur. Bu zəiflik həm bulud xidmətinə (`cloud.flowiseai.com`), həm də eyni API-ni təqdim edən özünə aid (self-hosted)/lokal Flowise tətbiqlərinə şamil edilir. Versiya 3.0.6-dakı 9e178d68873eb876073846433a596590d3d9c863 commit-i şifrə sıfırlama son nöqtələrini təhlükəsizləşdirir. Bir neçə tövsiyə olunan aradan qaldırma addımı mövcuddur. API cavablarında sıfırlama tokenlərini və ya həssas hesab detallarını qaytarmayın. Tokenlər yalnız qeydiyyatdan keçmiş e-poçt kanalı vasitəsilə təhlükəsiz şəkildə çatdırılmalıdır. İstifadəçilərin sadalanmasının (enumeration) qarşısını almaq üçün `forgot-password` hissəsinin girişdən asılı olmayaraq ümumi uğur mesajı ilə cavab verdiyindən əmin olun. `tempToken`-ın güclü şəkildə yoxlanılmasına tələb edin (məsələn, birdəfəlik istifadə, qısa müddətli vaxt limiti, sorğu mənşəyinə bağlılıq, e-poçt çatdırılmasına görə təsdiqləmə). Eyni düzəlişləri həm bulud, həm də özünə aid/lokal tətbiqlərə tətbiq edin. Şübhəli fəaliyyətləri izləmək üçün şifrə sıfırlama sorğularını loqlayın və monitorinq edin. Həssas hesablar üçün çoxfaktorlu təsdiqləməni nəzərdən keçirin.