Flowise API 访问控制缺陷致密码哈希泄露

漏洞关键信息总结 漏洞概述 漏洞名称：GET /api/v1/organization/user 接口存在访问控制缺陷，导致组织所有者的密码哈希值泄露给任意已认证成员。 漏洞类型：Broken Access Control（访问控制失效） 影响：任何已认证的组织成员（包括最低权限的 角色）均可通过该接口读取组织所有者的完整用户记录，其中包含 （密码哈希）和 等敏感字段，可能导致最高权限账户的接管（账户接管）。 CVSS 评分：6.0 / 10（Medium） CVSS 向量：CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N 影响范围 受影响版本： 修复版本： 确认存在：在 及当前 分支上均存在。 根本原因（两个问题） 1. 读路径无权限校验： 的处理器（ 第 9 行）以 和 注册，而 处理器（第 11-13 行）均要求 。任何已认证会话均可到达该 GET 接口。 2. 未限定用户范围： 将 参数（ 第 48-69 行）直接传入 ，未限定为请求者所在组织。该服务方法（ ）读取组织所有者的完整用户记录，并在返回前显式删除 、 字段（第 148-158 行）。所有者日志记录在字段被剥离前已写入，因此即使成员查询的是组织所有者，该字段仍会泄露。 修复方案 升级至 3.1.4 版本。 核心修复：在 路由上增加权限校验（如 ），或限定查询范围为请求者所在组织，确保敏感字段（ 、 ）在序列化前被正确剥离。 POC（复现步骤） 在本地自托管企业版实例（多成员组织，启用企业版/云测试）上复现。请求携带 头。 步骤 1：创建组织（ ），创建名为 的所有者账户 。 步骤 2：以 角色（仅含 和 权限）创建组织成员。 步骤 3：以 身份，通过用户管理 > 用户工作区 > 默认工作区 > 角色 完成成员入职（ ）。 步骤 4：成员 B 通过真实链接 完成入职（ ），系统通过邮件发送链接，B 设置密码并登录，会话显示 ，角色为 。 步骤 5：以成员 B 身份发送请求： HTTP 200 响应包含所有者的 User 对象： ```json [ { "isOrgAdmin": false, "userType": "org_lo", "user": { "email": "owner@example.com", "credential": "$2b$10$08qT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nqT8nq

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Flowise API 访问控制缺陷致密码哈希泄露

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Flowise API 访问控制缺陷致密码哈希泄露

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！