🇰🇷 한글 설명
IBM Langflow OSS 1.0.0부터 1.12.3 버전에는 취약점이 존재합니다. 대상 플로우에 대한 읽기 또는 공유 권한을 가진 인증된 공격자가 API 응답을 통해 플로우 소유자의 저장된 서드파티 자격 증명을 평문으로 조회할 수 있습니다.
💡 쉬운 설명
Langflow라는 AI 워크플로우 도구에서, 다른 사람의 작업 흐름을 볼 권한만 있어도 그 소유자가 저장해 둔 외부 서비스 비밀번호나 API 키를 알아낼 수 있습니다. 이 때문에 연결된 외부 시스템까지 무단 접근당할 위험이 있습니다.
🇺🇸 원문 (English)
IBM Langflow OSS 1.0.0 through 1.12.3 could allow an authenticated attacker with a read or share grant on a target flow to retrieve the flow owner's stored third-party credentials in cleartext from the API response.
📍 영향받는 시스템
IBM Langflow OSS 1.0.0 ~ 1.12.3
⚔️ 공격 벡터
인증된 사용자가 읽기/공유 권한을 가진 플로우의 API 응답을 조회하여 소유자의 서드파티 자격 증명을 평문으로 확인
🛡️ 대응 방법
IBM 보안 권고에 따라 Langflow를 1.12.3 초과의 수정된 버전으로 업그레이드하고, 노출 가능성이 있는 외부 서비스 자격 증명을 즉시 교체
🔧 검증 코드
출력된 Version 값이 1.0.0 이상 1.12.3 이하이면 취약하며, 1.12.3 초과이면 패치된 것입니다. 명령이 아무 결과도 없으면 설치되어 있지 않은 것입니다.
pip show langflow 2>/dev/null | grep -i version