🇰🇷 한글 설명
Flowise 3.1.2 미만 버전에서 OpenAI Assistants Vector Store의 모든 CRUD 엔드포인트에 인증 미들웨어가 적용되지 않는 취약점이 발견되었습니다. 해당 경로는 화이트리스트에 포함되어 있지 않으며, API 키를 통한 접근 시 권한 확인 절차가 누락되어 있어 보안 위협이 존재합니다.
💡 쉬운 설명
Flowise라는 도구에서 특정 데이터 저장소에 접근할 때, 사용자가 누구인지 확인하는 보안 절차가 빠져 있는 상태입니다. 이로 인해 공격자가 허가 없이 데이터를 생성하거나 삭제할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Flowise is a drag & drop user interface to build a customized large language model flow. Prior to version 3.1.2, all CRUD endpoints for OpenAI Assistants Vector Store have no authentication middleware and the route path /api/v1/openai-assistants-vector-store is not in WHITELIST_URLS. However, it is also not protected by the main auth middleware when accessed via API key — the route requires API key auth (not whitelisted), but no permission checks exist on any operation. This issue has been patched in version 3.1.2.
📍 영향받는 시스템
Flowise versions prior to 3.1.2
⚔️ 공격 벡터
인증 및 권한 검사가 누락된 API 엔드포인트(/api/v1/openai-assistants-vector-store)를 통한 직접적인 API 요청
🛡️ 대응 방법
Flowise를 최신 보안 패치가 적용된 버전 3.1.2 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 flowise 버전이 3.1.2 미만으로 표시되면 취약한 버전이 설치된 것입니다.
npm list flowise | grep -E 'flowise@([0-2]\.|3\.[0-1]\.[0-1])'