🇰🇷 한글 설명
Langfuse 오픈소스 LLM 엔지니어링 플랫폼의 특정 버전에서 SSO 설정 시 계정 탈취가 발생할 수 있는 취약점이 발견되었습니다. AUTH_<PROVIDER>_CHECK 설정이 명시되지 않은 경우, CSRF 또는 피싱 공격을 통해 인증된 사용자가 악의적인 URL을 호출하도록 유도하여 계정을 탈취할 수 있습니다.
💡 쉬운 설명
로그인 방식 설정이 미흡할 때, 공격자가 만든 가짜 링크를 클릭하면 사용자의 계정을 통째로 뺏길 수 있는 보안 약점입니다. 이를 방지하려면 시스템 설정을 변경하거나 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
Langfuse is an open source large language model engineering platform. In versions from 2.95.0 to before 2.95.12 and from 3.17.0 to before 3.131.0, in SSO provider configurations without an explicit AUTH_<PROVIDER>_CHECK setting, a potential account takeover may happen if an authenticated user is made to call a specifically crafted URL via a CSRF or phishing attack. This issue has been patched in versions 2.95.12 and 3.131.0. A workaround for this issue involves setting AUTH_<PROVIDER>_CHECK.
📍 영향받는 시스템
Langfuse versions 2.95.0 to < 2.95.12 and 3.17.0 to < 3.131.0
⚔️ 공격 벡터
CSRF 또는 피싱 공격을 통한 악의적인 URL 호출
🛡️ 대응 방법
Langfuse를 2.95.12 또는 3.131.0 이상의 버전으로 업데이트하거나 AUTH_<PROVIDER>_CHECK 설정을 적용하십시오.
🔧 검증 코드
출력된 버전 번호가 2.95.12 미만이거나 3.131.0 미만인지 확인하십시오.
curl -s http://<langfuse-host>/api/public/health | grep -oE '"version":"[0-9.]+"'