Flowise: Kritische Passwort-Zurücksetzen-Lücke ermöglicht vollständige Kontoübernahme

In Flowise wurde eine kritische Schwachstelle (CVE-2025-58434) entdeckt, über die Angreifer ohne Authentifizierung gültige Passwort-Reset-Token für beliebige Nutzer erzeugen können. Ursache ist ein unsicherer forgot-password-Endpoint, der neben Nutzerinformationen auch direkt ein gültiges tempToken zurückliefert – ohne jegliche Verifikation.

Da dieses Token sofort im reset-password-Endpoint nutzbar ist, genügt die E-Mail-Adresse des Opfers, um dessen Passwort zu überschreiben und das komplette Konto zu übernehmen. Betroffen sind sowohl die Cloud-Version von Flowise als auch selbst gehostete Instanzen. Der CVSS-Score liegt bei 9.8.

Alle Versionen unter 3.0.5 sind verwundbar; das Update auf 3.0.6 behebt das Problem.

Tags :

Related Posts

WatchGuard Firebox mit Standard-Adminzugang über SSH erreichbar

Eine gravierende Fehlkonfiguration betrifft WatchGuard Firebox-Geräte bis zur am 10. September 2025 veröffentlichten Version. Laut NVD-Eintrag CVE-2025-59396 erlauben die Geräte im Auslieferungszustand administrativen SSH-Zugriff auf Port 4118 – mit dem Standardpasswort des „admin“-Kontos.

Read More

Kritische XSS-Lücke in Checkmk – Remote Sites können Zentrale kompromittieren

Sicherheitsforscherin Lisa Gnedt von SBA Research hat eine schwerwiegende Cross-Site-Scripting-Schwachstelle (CVE-2025-39663) in Checkmk entdeckt. Die Lücke betrifft Checkmk-Versionen vor 2.4.0p14 und 2.3.0p39 sowie ältere Branches ab 2.0.0. Der Fehler tritt in verteilten Monitoring-Umgebungen auf, wenn ein verbundenes Remote-System unzureichend validierte HTML-Ausgaben an die zentrale Instanz sendet.

Read More

Norwegen: Fernabschaltung bei chinesischen Yutong-E-Bussen entdeckt

Der Verkehrsbetrieb Ruter (Oslo) hat bei geheimen Tests zwei Elektrobusse in einer stillgelegten Mine geprüft und festgestellt, dass das Yutong-Fahrzeug ferngesteuerte Software-Updates, Diagnosen und sogar Batterie-Module zulässt — in der Theorie könnten Hersteller oder Dritte den Bus so fernsteuern oder deaktivieren.

Read More