Mobile-Menu

Flowise Kritische Sicherheitslücke in Low-Code-KI-Plattform

Von Melanie Staudacher 1 min Lesedauer

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH
Fsas Technologies GmbH
FTAPI Software GmbH

Die Low-Code-Plattform Flowise zur Entwicklung von KI-Agenten weist eine kritische Sicherheitslücke auf: Über die Passwort-zurücksetzen-Funktion können Angreifer gültige Reset-Token abgreifen und so fremde Konten komplett übernehmen.

Die Flowise-Schwachstelle CVE-2025-58434 betrifft sowohl die Cloud-Version als auch selbst gehostete Installationen und erlaubt im schlimmsten Fall eine vollständige Kompromittierung von Nutzerkonten.(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)
Die Flowise-Schwachstelle CVE-2025-58434 betrifft sowohl die Cloud-Version als auch selbst gehostete Installationen und erlaubt im schlimmsten Fall eine vollständige Kompromittierung von Nutzerkonten.
(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Wer schnell Prototypen für Chatbots, Agenten oder KI-Workflows erstellen will, für den ist die Low-Code-Plattform Flowise interessant. Die Open-Source-Plattform des Unternehmens Flowiseai hilft Unternehmen beim Entwerfen, Orchestrieren und Betreiben von KI-Agenten und Workflows. Doch derzeit gefährdet eine kritische Sicherheitslücke die Systeme der User.

Fehler in Passwort-zürcksetzen-Funktion

Bei der Schwachstelle handelt es sich um CVE-2025-58434, die einen kritischen CVSS-Score von 9.8 erhalten hat. In den Versionen 3.0.5 und früher enthält die „Passwort-vergessen“-Funktion einen gravierenden Fehler: Sie gibt sensible Login-Informationen in Form eines gültigen Reset Tokens preis, ohne vorher zu prüfen, ob die gestellte Anfrage legitim ist. Das bedeutet, dass Cyberkriminelle sich mithilfe dieser Sicherheitslücke einen Passwort-Reset-Token für beliebige Nutzer erzeugen lassen können. Und mit diesem Token könnten sie sofort das Passwort ändern, was eine Account-Übernahme nach sich ziehen würde. Das Problem betrifft sowohl den Cloud-Dienst wie auch die lokalen Flowise-Bereitstellungen.

In Version 3.0.6 wurde das Problem behoben. Wer nicht sofort patchen kann, kann folgende Sofortmaßnahmen umsetzen:

  • Über die Passwort-zurücksetzen-Funktion sollten keine sensiblen Informationen wie Reset-Tokens oder Kontodetails in API-Antworten ausgegeben werden. Stattdessen dürfen Token ausschließlich über den registrierten E-Mail-Kanal verschickt werden.
  • Der Enpunkt sollte stets mit einer generischen Erfolgsmeldung antworten, um zu verhindern, dass Angreifer durch Abfragen gültige Nutzeradressen herausfinden.
  • Die Reset-Token benötigen konkrete Sicherheitsvorgaben. Sie sollten nur einmal nutzbar, zeitlich stark begrenzt und eindeutig mit der ursprünglichen Anfrage sowie der E-Mail-Zustellung verknüpft sein.
  • Darüber hinaus empfiehlt es sich, alle Passwort-Reset-Anfragen zu protokollieren und auf verdächtige Muster hin zu überwachen.
  • Generell ist es sinnvoll, eine Multi-Faktor-Authentifizierung einzuführen, um unbefugte Übernahmen zu erschweren.

(ID:50552975)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte