🇰🇷 한글 설명
IBM Langflow OSS 1.0.0부터 1.12.4 버전에서 소유권 검증이 누락된 세 개의 메시지 엔드포인트가 발견되었습니다. 인증된 사용자라면 누구나 타인의 메시지를 대량 삭제하거나, 악성 프롬프트를 주입하기 위해 메시지 내용을 덮어쓰거나, 세션 ID를 재할당하여 대화 세션 전체를 탈취할 수 있습니다.
💡 쉬운 설명
로그인한 사용자라면 누구나 다른 사람의 대화 내용을 지우거나 내용을 마음대로 바꿀 수 있는 보안 결함입니다. 심지어 다른 사람의 대화 흐름을 통째로 가로챌 수도 있어 위험합니다.
🇺🇸 원문 (English)
IBM Langflow OSS 1.0.0 through 1.12.4 contains three message endpoints that perform no ownership verification. Any authenticated user can bulk-delete another user's messages, overwrite message content to inject malicious prompts, or hijack an entire conversation session by reassigning its session ID.
📍 영향받는 시스템
IBM Langflow OSS 1.0.0 ~ 1.12.4
⚔️ 공격 벡터
인증된 사용자가 소유권 검증이 없는 메시지 엔드포인트를 통해 타인의 데이터에 접근 및 조작
🛡️ 대응 방법
해당 취약점이 해결된 최신 버전으로 업데이트하거나 엔드포인트에 대한 소유권 검증 로직을 적용해야 함
🔧 검증 코드
출력된 버전이 1.12.4 이하이면 취약한 버전이므로 업데이트가 필요합니다.
pip show langflow | grep Version