🟠 CVE-2025-71337: High Schwachstelle

„`html

Zusammenfassung

CVE-2025-71337 beschreibt eine Schwachstelle in Flowise vor Version 3.0.10, die es authentifizierten Benutzern ermöglicht, ihre E-Mail-Adresse ohne Verifikation zu ändern. Diese E-Mail-Adresse wird als Loginidentifier und für Passwort-Recovery-Mechanismen verwendet. Ein Angreifer kann diese Funktionalität missbrauchen, um Konten zu übernehmen und unbefugten Zugriff zu erlangen.

Betroffene Systeme

Die Schwachstelle betrifft Flowise in den Versionen 3.0.7 und früher. Alle Installationen, die diese Versionsnummern verwenden, sind anfällig. Die genaue Betroffenheit abhängig von der Deployment-Umgebung und den aktivierten Sicherheitsfeatures.

Technische Details

Die Schwachstelle befindet sich im Account-Profile-Endpoint und ist vom Typ „Unverified Email Change“. Das System validiert die E-Mail-Änderung nicht ausreichend:

• Keine Bestätigung der neuen E-Mail-Adresse erforderlich
• Keine Re-Authentifizierung durch Passwort notwendig
• Keine Bestätigung durch die alte E-Mail-Adresse verlangt
• Passwort-Reset-Tokens werden automatisch akzeptiert

Ein angemeldeter Benutzer (oder Angreifer mit gestohlenen Anmeldedaten) kann die E-Mail-Adresse direkt über eine HTTP-Request zum Endpoint ändern. Dies führt zur vollständigen Kontokompromittierung.

Empfohlene Massnahmen

• Sofortige Aktion: Aktualisierung auf Flowise 3.0.10 oder neuer durchführen
• Monitoring: Account-Änderungsaktivitäten überwachen; verdächtige E-Mail-Änderungen untersuchen
• Benutzer informieren: Sicherheitsmitteilung ausgeben und Passwortänderung empfehlen
• Zugriffskontrolle: Multi-Faktor-Authentifizierung implementieren
• Audit-Logs: Historische Änderungen überprüfen

Bewertung

Mit einem CVSS-Score von 8.3 (High) und dem Angriffsvektor „Network“ stellt diese Schwachstelle ein erhebliches Sicherheitsrisiko dar. Die Kombination aus fehlender Verifikation und direktem Kontozugriff ermöglicht einfache Kontokompromittierung. Sofortige Patches sind erforderlich.

„`