漏洞总结：DocumentStore 创建端点中的 Mass Assignment 导致跨工作区对象接管 (IDOR) 漏洞概述 在 FlowiseAI 的 创建端点中存在一个 Mass Assignment 漏洞。该漏洞允许经过身份验证的用户控制 实体的主键（id）和内部状态字段。由于服务层使用 且客户端提供主键，该 POST 创建端点实际上表现为隐式的 UPSERT 操作，从而导致现有 对象被覆盖。 影响范围 受影响版本：FlowiseAI (npm) <= 3.0.13 CVSS 评分：7.6 / 10 (High) 具体影响： 在单工作区或多租户部署中，攻击者可以重新分配或修改属于其他工作区的 对象。 由于 对象控制嵌入提供程序、向量存储配置和记录管理逻辑，成功的接管可能会影响数据索引、检索和 AI 工作流执行。 修复方案 已修复版本：3.1.0 POC 代码