CVE-2025-71337
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 — wyżej niż 21% wszystkich znanych CVE
Streszczenie
Flowise w wersjach przed 3.0.10 (dotknięte wersje 3.0.7 i wcześniejsze) zawiera podatność na niezweryfikowaną zmianę adresu e-mail. Użytkownik z autoryzacją może zmienić adres e-mail konta bez potwierdzenia zmiany na oryginalny adres e-mail lub ponownego wprowadzenia aktualnego hasła.
Ocena ryzyka
Zmiana adresu e-mail do odzyskiwania hasła przez atakującego może prowadzić do przejęcia konta i nadużycia mechanizmów resetowania hasła, co stwarza poważne zagrożenie dla bezpieczeństwa kont użytkowników.
Rekomendacja
Zaleca się aktualizację do wersji Flowise 3.0.10 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto wdrożyć dodatkowe mechanizmy weryfikacji przy zmianie adresu e-mail.
Oryginalny opis (angielski, źródło NVD)
Flowise before 3.0.10 (affected versions 3.0.7 and earlier) contains an unverified email change vulnerability. An authenticated user can change the account email address, used as a login identifier and password-recovery channel, via the account profile endpoint without confirming the change to the original email address or re-entering the current password. By changing the recovery email, an attacker can take over the account and abuse password reset mechanisms.