Flowise OAuth2凭证刷新端点越权访问漏洞分析(CVE-2026-70636)

漏洞概述 CVE-2026-70636 - Flowise Missing Authorization on OAuth2 Credential Refresh Endpoint 产品: Flowise 组件: OAuth2 Credential Refresh API 漏洞类型: 缺少授权导致跨工作区 OAuth 凭证刷新 CVE: CVE-2026-70636 CWE: CWE-862, CWE-639 严重程度: 高 受影响版本: Flowise 3.1.3 研究人员: CayCon, piropatriot 执行摘要: Flowise 的 OAuth2 凭证刷新功能存在授权绕过漏洞。尽管早期建议（GHSA-6f7g-v4pp-r667）解决了 OAuth 刷新端点的未授权访问问题，但 Flowise 3.1.3 中的实现仍然有效未授权。刷新端点仍在应用程序的全局白名单中，允许请求绕过正常的 API 密钥和 JWT 身份验证中间件。一旦调用，端点仅通过凭证标识符检索 OAuth 凭证，解密存储的客户端凭证，执行 OAuth 刷新请求，并更新凭证记录，而不验证工作区所有权或用户授权。因此，拥有有效凭证标识符的攻击者可以触发对其他工作区凭证的 OAuth 令牌刷新操作。 影响范围 受影响版本: Flowise 3.1.3 受影响组件: - - - 受影响文件: - - - 修复方案 1. 移除白名单: 从全局白名单中移除 端点。 2. 添加身份验证: 在刷新端点添加必要的身份验证和授权检查，确保只有授权用户才能执行刷新操作。 3. 验证工作区所有权: 在刷新凭证前验证调用者是否属于该凭证所属的工作区。 技术细节 Flowise 暴露了一个负责刷新存储的 OAuth 凭证的端点： 正常情况下，请求到达敏感 API 端点时应先通过应用程序的身份验证中间件，该中间件验证 API 密钥或经过身份验证的用户会话。然而，Flowise 维护了一个从该授权过程中排除的路由白名单。白名单包括： 在请求处理期间，服务器使用以下代码评估白名单条目： 由于比较使用前缀匹配而不是精确路由，以下请求也被视为白名单： 因此，请求完全绕过了应用程序的正常身份验证和授权中间件。进入刷新处理程序后，实现仅使用提供的凭证标识符检索 OAuth 凭证。处理程序执行以下操作： 加载凭证记录 解密存储的 OAuth 密钥 执行 OAuth 刷新请求 存储返回的访问令牌 更新持久存储中的凭证 在任何时候，处理程序都不会验证： 调用者的身份 工作区成员资格 凭证的所有权 RBAC 权限 因此，授权决策完全依赖于对凭证标识符的了解。 攻击场景 假设： 工作区 A 拥有 OAuth 凭证 攻击者获取了凭证标识符 攻击者没有经过身份验证的 Flowise 会话 攻击者提交： 由于请求匹配白名单路由，它绕过了身份验证。处理程序检索凭证，解密其存储的客户端凭证和刷新令牌，向 OAuth 提供商发送刷新请求，并更新凭证，而无需授权。 实验室复现 测试环境: Flowise 3.1.3 干净安装 源提交: 步骤: 1. 配置 OAuth2 凭证 2. 记录其凭证标识符 3. 无需身份验证，提交： 观察到的行为: 请求被接受 身份验证中间件被绕过 凭证加载 OAuth 刷新请求执行 凭证更新 源代码验证确认: 控制验证: 影响 能够获取凭证标识符的攻击者可以触发对其他工作区凭证的 OAuth 刷新操作。潜在后果包括： 未经授权的 OAuth 令牌轮换 凭证生命周期操纵 跨工作区 OAuth 凭证修改 OAuth 集成的操作中断 绕过预期的工作区隔离 虽然刷新后的访问令牌不会直接返回给攻击者，但未经授权对凭证状态的突变代表了严重的完整性违规。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Flowise OAuth2凭证刷新端点越权访问漏洞分析(CVE-2026-70636)

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Flowise OAuth2凭证刷新端点越权访问漏洞分析(CVE-2026-70636)

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！