Mobile-Menu

Vollständige Kontoübernahme möglich Fifty-fifty-Chance, dass Ihr Flowise-Agent angegriffen wird

Von Melanie Staudacher 3 min Lesedauer

Anbieter zum Thema

Widas ID GmbH
FTAPI Software GmbH
Arvato Systems GmbH

Mit einer Ausnutzungswahrscheinlichkeit von über 50 Prozent gefährdet eine kritische Flowise-Schwachstelle Konten, Daten und Systeme. Nutzer sollten diese und weitere Schwachstellen umgehend patchen.

Flowise hilft, KI-Agenten für eigene Workflows zu erstellen. Doch eine kritische Sicherheitslücke ermöglicht es Angreifern, Passwörter zurückzusetzen und somit Nutzerkonten zu kompromittieren.(Bild: © leszekglasner - stock.adobe.com)
Flowise hilft, KI-Agenten für eigene Workflows zu erstellen. Doch eine kritische Sicherheitslücke ermöglicht es Angreifern, Passwörter zurückzusetzen und somit Nutzerkonten zu kompromittieren.
(Bild: © leszekglasner - stock.adobe.com)

Schnell und einfach eigene AI Agents für maßgeschneiderte Workflows erstellen. Das verspricht die Open-Source-Plattform Flowise und liegt damit derzeit voll im Trend. Schließlich ex­perimentieren derzeit viele Organisationen und Einzelpersonen mit eigenen Agenten. Doch innerhalb der Plattform stören derzeit drei Schwachstellen die Sicherheit ihrer Nutzer.

Angreifer können Reset-Token generieren

Die gravierendste der Schwachstellen ist EUVD-2025-29069 / CVE-2025-58434 (CVSS-Score 9.8). Denn sie sorgt dafür, dass der „forgot passwort“-Endpunkt von Flowise sensible In­for­mationen ohne vorherige Authentifizierung oder Verifizierung preis gibt – einschließlich eines gültigen „tempToken“ für das Zurücksetzen des Passworts. Das ermöglicht es Angreifern, ein Reset-Token für beliebige Benutzer zu generieren und deren Passwort direkt zurück­zusetzen, was zu einer vollständigen Kontoübernahme führen kann. Diese Schwachstelle betrifft sowohl den Cloud-Dienst als auch selbst gehostete oder lokale Flowise-Instanzen, die dieselbe API bereitstellen, in den Versionen 3.0.5 und früher. Dem EPSS-Score* nach, liegt die Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen bei 50.12 Prozent.

Der Commit „9e178d68873eb876073846433a596590d3d9c863“ in Version 3.0.6 sichert die Endpunkte für das Zurücksetzen von Passwörtern ab. Zudem finden sich über GitHub empfohlene Sicherheitsmaßnahmen:

  • Geben Sie keine Tokens zum Zurücksetzen oder sensible Kontodaten in API-Antworten aus.Tokens dürfen ausschließlich sicher über den registrierten E-Mail-Kanal übermittelt werden.
  • Stellen Sie sicher, dass der „forgot password“-Endpunkt unabhängig von der Eingabe eine allgemeine Erfolgsmeldung zurückgibt, um Benutzeraufzählung (User Enumeration) zu verhindern.
  • Implementieren Sie eine strenge Validierung des „tempToken“, zum Beispiel Einmalverwendung.
  • Wenden Sie dieselben Korrekturen sowohl auf Cloud- als auch auf selbst gehostete oder lokale Instanzen an.
  • Protokollieren und überwachen Sie Anfragen zum Zurücksetzen von Passwörtern auf verdächtige Aktivitäten.
  • Ziehen Sie eine Multi-Faktor-Verifizierung für sensible Konten in Betracht.

Remote Code Execution und Path Traversal

Eine weitere kritische Schwachstelle ist EUVD-2025-210342 / CVE-2025-71336 (CVSS-Score 9.3, EPSS-Score 0.76). Sie betrifft die Flowise-Versionen 2.2.7 und früher und ermöglicht die Ausführung von Remote Code ohne Sandbox-Absicherung in der „Custom MCP“-Funktion, die eigentlich für die Ausführung von Betriebssystembefehlen, wie zum Starten lokaler MCP-Server, vorgesehen ist. Ein Cyberangreifer kann so eine speziell präparierte JSON-Payload mit dem Header „x-request-from: internal“ an den Endpunkt „/api/v1/node-load-method/customMCP“ senden, um beliebige Betriebssystembefehle auszuführen. Dies wiederum kann zur vollständigen Kompromittierung des Plattform-Containers oder -Servers führen. Versionen ab 3.0.6 sind abgesichert.

Und auch EUVD-2025-210336 / CVE-2025-71324 (CVSS-Score 8.7, EPSS-Score 0.35) ist nicht zu unterschätzen und sollte gepatcht werden. Denn die Flowise-Version 3.0.5 ermöglichen das unbefugte Lesen beliebiger Dateien über den Parameter „chatId“ der Endpunkte „/api/v1/get-upload-file“ und „/api/v1/openai-assistants-file/download“. Dies kann einen Pfad-Traversal-Angriff ermöglichen, der über das eigentlich vorgesehene Speicherverzeichnis hinausreicht. Nicht authentifizierte Angreifer können so sensible Dateien wie „/root/.flowise/database.sqlite“ lesen und damit in der Standardkonfiguration den gesamten Datenbankinhalt offenlegen. 3.0.6 enthält den Patch für diese Schwachstelle.

Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50895703)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte