Flowise Cross-Workspace Credential IDOR (GHSA-hgvm-7539-v83) Analysis & PoC

漏洞总结：跨工作区凭证 IDOR（GHSA-hgvm-7539-v83） 漏洞概述 类型：跨工作区凭证 IDOR（Insecure Direct Object Reference） 根因： 端点允许已认证的低权限用户调用组件的 ，且 由攻击者控制。 核心问题： 通过 解析凭证，未校验凭证所属工作区，导致低权限用户可引用其他工作区的凭证 ID，从而枚举第三方资源（Google Drive、Google Sheets、AWS DynamoDB）。 严重度：High（CVSS 6.1/10，Medium） 受影响版本：≤ 3.1.3；修复版本：3.1.4 CWE：CWE-639（通过未受控密钥的认证绕过）、CWE-862（缺失授权） CVSS v3.1： 影响范围 低权限用户或工作区 API Key 可引用其他工作区（如工作区 B）的凭证，将 Flowise 作为混淆代理枚举第三方提供商资源。 可枚举： - 受害者 Google Drive 文件（ID、文件名、MIME 类型、修改时间） - 受害者 Google Sheets 电子表格（ID 与名称） - 受害者 AWS DynamoDB 表（表名与模式） - 触发 OAuth 刷新或 AWS STS AssumeRole 流程 - 消费提供商 API 配额 - 在受害者凭证上创建提供商侧 API 配额 攻击者无需访问原始凭证密钥或服务端使用。 POC / 利用代码 1. 负向对照：通过正常凭证 API 无法读取受害者凭证 预期结果： 2. 正向对照：使用受害者凭证枚举 AWS DynamoDB 表 漏洞结果： 3. 正向对照：使用受害者凭证枚举 Google Drive 文件 漏洞结果： 4. 正向对照：使用受害者凭证枚举 Google Sheets 漏洞结果： 修复方案（Suggested remediation） 在 添加显式权限门控。 调用任意 loadMethod 前，收集凭证 ID（ ）及重设的 config 字段，并校验其属于当前工作区或显式共享给该工作区。 用工作区感知解析器替换通用的 。 为凭证解析添加回归测试： - 工作区 A 可调用 使用工作区 A 的凭证 - 工作区 A 不能调用 使用工作区 B 的凭证 - 工作区 A 只能调用 使用工作区 B 显式共享的凭证 备注：此漏洞不同于公开的 AgentFlow OAuth 刷新问题——本漏洞不依赖 返回令牌材料，也不依赖公开的 AgentFlow 元数据泄露凭证 ID。

目標達成すべての支援者に感謝 — 100%達成しました！

Flowise Cross-Workspace Credential IDOR (GHSA-hgvm-7539-v83) Analysis & PoC

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Flowise Cross-Workspace Credential IDOR (GHSA-hgvm-7539-v83) Analysis & PoC

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！