漏洞预警：FlowiseAI 高危漏洞（CVE-2025-58434）可导致完全账户接管（CVSS 9.8）
💡
原文中文，约1600字，阅读约需4分钟。
📝
内容提要
开源AI平台FlowiseAI存在高危漏洞CVE-2025-58434，攻击者可在未认证状态下接管任意账户。该漏洞源于密码重置机制，攻击者可通过邮箱获取重置令牌直接修改密码。建议采取临时防护措施，如限制敏感信息返回和启用多因素认证。
🎯
关键要点
- 开源AI平台FlowiseAI存在高危漏洞CVE-2025-58434，攻击者可在未认证状态下接管任意账户。
- 漏洞源于密码重置机制，攻击者可通过邮箱获取重置令牌直接修改密码。
- 该漏洞的CVSS评分为9.8分，属于认证绕过/不安全的直接对象引用。
- 攻击者只需输入受害者的邮箱地址即可触发漏洞，直接返回敏感信息。
- 攻击链包括获取重置令牌和利用令牌重置密码，攻击无需用户交互。
- 该漏洞影响云环境和本地部署，可能被大规模利用。
- 建议采取临时防护措施，如禁止返回敏感信息、启用多因素认证等。
- FlowiseAI尚未发布补丁，3.0.5之前的所有版本均受影响。
❓
延伸问答
FlowiseAI的高危漏洞是什么？
FlowiseAI存在高危漏洞CVE-2025-58434，攻击者可在未认证状态下接管任意账户。
CVE-2025-58434漏洞的CVSS评分是多少？
该漏洞的CVSS评分为9.8分。
攻击者如何利用FlowiseAI的漏洞？
攻击者只需输入受害者的邮箱地址即可获取重置令牌，随后利用该令牌重置密码，接管账户。
FlowiseAI漏洞的临时防护措施有哪些？
建议禁止返回敏感信息、启用多因素认证，并监控所有密码重置请求。
该漏洞对云环境和本地部署有什么影响？
该漏洞影响云环境和本地部署，可能被大规模利用，导致数据泄露和身份冒用。
FlowiseAI是否已经发布了漏洞补丁？
目前FlowiseAI尚未发布补丁，3.0.5之前的所有版本均受影响。
➡️
