🇰🇷 한글 설명
Flowise 3.1.0 미만 버전(3.0.13 및 이전 버전 포함)의 /api/v1/loginmethod 엔드포인트에서 인증 누락 취약점이 발견되었습니다. 공격자는 organizationId 파라미터를 사용하여 OAuth 클라이언트 비밀값과 같은 민감한 SSO 구성 정보를 평문으로 탈취할 수 있습니다.
💡 쉬운 설명
로그인하지 않은 외부인이 특정 ID만 알면 회사의 중요한 로그인 연결 정보와 비밀번호를 몰래 훔쳐볼 수 있는 문제입니다. 이를 통해 구글이나 마이크로소프트 같은 서비스의 권한을 탈취당할 위험이 있습니다.
🇺🇸 원문 (English)
Flowise before 3.1.0 (versions 3.0.13 and earlier) contains a missing authentication vulnerability in the /api/v1/loginmethod endpoint that allows unauthenticated users to retrieve an organization's complete SSO configuration, including OAuth client secrets in cleartext, by providing an organizationId parameter. Remote attackers can send a GET request to harvest sensitive API credentials for Google, Microsoft/Azure, GitHub, and Auth0 integrations. This affects FlowiseAI Cloud and self-hosted instances where the endpoint is exposed.
📍 영향받는 시스템
Flowise 3.1.0 미만 버전 (3.0.13 및 이전 버전 포함)
⚔️ 공격 벡터
인증되지 않은 공격자가 특정 organizationId를 포함한 GET 요청을 엔드포인트로 전송
🛡️ 대응 방법
Flowise를 3.1.0 이상의 최신 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 번호가 출력되면 해당 시스템은 보안 업데이트가 필요한 상태입니다.
npm list flowise | grep -E 'flowise@([0-2]\.|3\.0\.[0-9]|3\.0\.13)'