CVE-2025-71337
CVE-2025-71337 · Flowise - Unverified Email Change via Account Profile Endpoint
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Flowise before 3.0.10 (affected versions 3.0.7 and earlier) contains an unverified email change vulnerability. An authenticated user can change the account email address, used as a login identifier and password-recovery channel, via the account profile endpoint without confirming the change to the original email address or re-entering the current password. By changing the recovery email, an attacker can take over the account and abuse password reset mechanisms.
CVSS 8.7 · Hoch · EPSS 0,4% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: node
Betroffene Produkte und Versionen
flowise
- Softwareversionen
- ≥ 0, < 3.0.10: Betroffen (semver)
- 3.0.10: Nicht betroffen (semver)
Auf 3.0.10 aktualisieren
flowise-ui npm
- Betroffene Versionsbereiche
- SEMVER: < 3.0.10
Auf 3.0.10 aktualisieren