CVE-2025-71327: Kritisk hul i Flowise-kontoregistrering

Flowise er et open source-værktøj, som virksomheder bruger til at bygge og drive AI-arbejdsgange med sprogmodeller uden at skrive meget kode. Sårbarheden ligger i endpointet /api/v1/account/register, som er den del af systemet, der tager imod nye kontooprettelser. Endpointet mangler den godkendelseskontrol, der normalt skal forhindre uvedkommende i at bruge kritiske funktioner. Det betyder, at en angriber kan sende en almindelig forespørgsel til systemet og selv oprette en brugerkonto, uden at kende nogen adgangskode eller nøgle i forvejen. Fejltypen kaldes CWE-306, manglende godkendelse på en kritisk funktion.

Det rammer virksomheder og kommuner, der selv drifter Flowise, og hvor registrerings-endpointet er tilgængeligt fra internettet uden ekstra beskyttelse, for eksempel en firewall-regel eller en login-væg foran systemet. NVD-data angiver ikke specifikke versionsnumre for, hvornår fejlen er rettet, så alle installationer bør betragtes som berørt, indtil leverandøren har bekræftet andet.

En angriber, der opretter en konto, kan logge ind og få adgang til de samme funktioner som en almindelig bruger, herunder API-nøgler, forbindelser til datakilder og de arbejdsgange, virksomheden har bygget. I praksis kan det betyde, at følsomme data, kundeoplysninger eller forretningslogik i AI-flows bliver læst eller misbrugt. Da fejlen ikke giver adgang til at ændre eller slette systemdata, er risikoen primært, at fortrolige oplysninger lækkes, ikke at systemet går ned.

CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Sårbarheden kan udnyttes over netværket, kræver ingen login på forhånd, ingen brugerinteraktion og har lav kompleksitet, altså kan den udføres med et enkelt automatiseret forsøg. Konsekvensen er høj for fortrolighed og integritet, men ingen for tilgængelighed. Der er ikke oplysninger om, at sårbarheden aktivt bliver udnyttet, men den er let at afprøve, fordi der ikke kræves nogen forudgående adgang.

Følg punkterne i rækkefølge for at lukke hullet og begrænse skaden.

1. Blokér adgang til /api/v1/account/register udefra, fx via en firewall-regel eller en login-væg foran Flowise, indtil en officiel rettelse er installeret.
2. Gennemgå jeres brugerliste i Flowise for konti, I ikke kan genkende, især oprettet efter offentliggørelsesdatoen.
3. Skift API-nøgler og adgangskoder, der er tilgængelige via jeres Flowise-arbejdsgange, hvis I finder tegn på uautoriseret adgang.
4. Følg Flowise’ officielle kanaler for en opdateret version, der lukker sårbarheden, og installér den, så snart den foreligger.
5. Gennemgå adgangslogs for usædvanlig trafik mod API’en i perioden, hvor endpointet har stået åbent.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere, om jeres installation er eksponeret, eller hvis I finder tegn på misbrug.