🇰🇷 한글 설명
IBM Langflow OSS 1.0.0부터 1.10.3 버전에서 사용 중단된 POST /api/v1/build/{flow_id}/vertices 엔드포인트가 소유권을 적절히 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증된 사용자가 임의의 그래프 데이터를 공유 캐시에 주입하여 교차 사용자 캐시 오염, 권한 없는 워크플로우 실행 또는 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 다른 사람의 작업 공간에 몰래 데이터를 끼워 넣을 수 있는 보안 결함입니다. 이로 인해 다른 사용자의 작업이 망가지거나 시스템이 멈출 수 있습니다.
🇺🇸 원문 (English)
IBM Langflow OSS 1.0.0 through 1.10.3 does not properly validate ownership in the deprecated POST /api/v1/build/{flow_id}/vertices endpoint, allowing an authenticated user to inject arbitrary graph data into a shared cache for any flow. This may result in cross-user cache pollution, unauthorized workflow execution, or denial of service.
📍 영향받는 시스템
IBM Langflow OSS 1.0.0 ~ 1.10.3
⚔️ 공격 벡터
인증된 사용자가 취약한 API 엔드포인트를 통해 임의의 그래프 데이터를 전송하여 캐시를 오염시키는 방식
🛡️ 대응 방법
Langflow를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 사용 중단된(deprecated) API 엔드포인트에 대한 접근을 차단하십시오.
🔧 검증 코드
출력된 버전이 1.0.0 이상 1.10.3 이하인지 확인하여 취약 여부를 판단합니다.
pip show langflow | grep Version