🇰🇷 한글 설명
IBM Langflow OSS 1.0.0부터 1.9.6까지의 버전에서 /api/v1/build_public_tmp/ 엔드포인트에 인증 누락 취약점이 존재합니다. 인증되지 않은 공격자가 유효한 작업 식별자(job ID)만으로 빌드 이벤트 데이터를 조회하거나 작업을 취소할 수 있어 정보 노출과 서비스 거부(DoS)가 발생할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 사람도 작업 번호만 알면 진행 중인 작업의 내역을 엿볼 수 있습니다. 또한 다른 사람의 작업을 강제로 취소시켜 서비스를 방해할 수 있습니다.
🇺🇸 원문 (English)
IBM Langflow OSS 1.0.0 through 1.9.6 contains a missing authentication vulnerability in /api/v1/build_public_tmp/ endpoints that allows an unauthenticated attacker to read build event data or cancel jobs using a valid job identifier, resulting in information disclosure and denial of service.
📍 영향받는 시스템
IBM Langflow OSS 1.0.0 ~ 1.9.6
⚔️ 공격 벡터
유효한 job ID를 확보한 뒤 인증 없이 /api/v1/build_public_tmp/ 엔드포인트에 요청을 보내 이벤트 조회 또는 작업 취소
🛡️ 대응 방법
IBM 공식 보안 권고에 따라 Langflow를 1.9.6 초과의 패치된 버전으로 업그레이드하고, 해당 엔드포인트를 인증 필수로 제한
🔧 검증 코드
출력된 버전이 1.0.0 이상 1.9.6 이하이면 취약하므로 패치된 버전으로 즉시 업그레이드가 필요하며, 결과가 없으면 Langflow가 설치되어 있지 않은 것입니다.
pip show langflow 2>/dev/null | grep -i '^version'