🇰🇷 한글 설명
Flowise 3.1.0 미만 버전의 Faiss 및 SimpleStore 벡터 저장소 구현에서 경로 탐색 취약점이 발견되었습니다. 인증된 사용자가 검증되지 않은 basePath 매개변수를 사용하여 임의의 파일 시스템 위치에 데이터를 쓸 수 있으며, 이는 코드 실행이나 데이터 유출로 이어질 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 시스템의 허용되지 않은 폴더에 파일을 마음대로 저장할 수 있는 보안 약점입니다. 이를 통해 해커가 악성 코드를 심거나 중요한 정보를 훔쳐갈 위험이 있습니다.
🇺🇸 원문 (English)
Flowise before 3.1.0 contains a path traversal vulnerability in Faiss and SimpleStore vector store implementations that accept unsanitized basePath parameters from authenticated users. Attackers with valid API tokens can write vector store data to arbitrary filesystem locations, potentially enabling code execution or data exfiltration.
📍 영향받는 시스템
Flowise versions before 3.1.0 (Faiss and SimpleStore implementations)
⚔️ 공격 벡터
인증된 사용자가 조작된 basePath 매개변수를 통해 경로 탐색(Path Traversal) 공격 수행
🛡️ 대응 방법
Flowise를 3.1.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 3.1.0 미만(예: 2.x.x 또는 3.0.x)이면 취약한 상태입니다.
npm list flowise | grep -E 'flowise@([0-2]\.|3\.[0-0]\.)'