跨租户数据访问通过 Collection Lookup 中的 IDOR 漏洞概述 任何经过身份验证的用户，只要拥有有效的集合 UUID，就可以读取、写入、更新或删除任何租户的集合中的数据，无论他们属于哪个租户。ChromaDB 的集合查找在提供 UUID 时会跳过租户和数据库过滤器。 影响范围 该漏洞影响 ChromaDB 从 0.4.17 到最新版本的所有版本。 CVSS 评分 8.8 CWE 分类 CWE-639: 通过用户控制的键绕过授权 详细信息 该漏洞是由两个代码路径共同导致的，这两个路径共同破坏了租户隔离： 1. 第一个是 SQL 查询，当提供 UUID 时会跳过租户过滤。 2. 第二个是 方法，它只传递 UUID，没有租户上下文。 代码示例 时间线 2026年2月17日：首次向 ChromaDB 披露 2026年2月24日：通过其他 trychroma 邮件尝试跟进 2026年3月5日：尝试通过 IT-ISAC 联系 2026年4月10日：尝试通过所有先前渠道和社交媒体进行最终跟进 2026年5月19日：公开披露第一个漏洞，未收到供应商回应 项目 URL https://www.trychroma.com/ https://github.com/chroma-core/chroma/ 研究人员 Esteban Tonglet, Security Researcher, HiddenLayer