🇰🇷 한글 설명
IBM Langflow OSS 1.0.0부터 1.8.4 버전까지는 일반 사용자가 flow_id 값을 지정하여 다른 사용자의 트랜잭션 로그와 vertex 빌드 데이터를 조회할 수 있으며, 다른 사용자 플로우의 영구 저장된 vertex 빌드 데이터를 삭제할 수도 있습니다. 이는 인가(Authorization) 검증 누락으로 인한 취약점입니다.
💡 쉬운 설명
Langflow라는 AI 워크플로우 도구에서 다른 사용자의 작업 기록을 몰래 볼 수 있고 지울 수도 있는 문제입니다. 소유자 확인이 제대로 되지 않아 발생합니다.
🇺🇸 원문 (English)
IBM Langflow OSS 1.0.0 through 1.8.4 could allow any user to supply a flow_id to read transaction logs and vertex build data belonging to other users, and to delete persisted vertex build data for another user's flow.
📍 영향받는 시스템
IBM Langflow OSS 1.0.0 ~ 1.8.4
⚔️ 공격 벡터
인증된 일반 사용자가 타인의 flow_id를 API 요청에 지정해 로그 조회 또는 빌드 데이터 삭제를 수행
🛡️ 대응 방법
IBM Langflow OSS를 1.8.5 이상 버전으로 업그레이드하고, 권한 검증이 적용된 최신 릴리스를 배포
🔧 검증 코드
출력된 버전이 1.0.0 이상 1.8.4 이하이면 취약하며, 1.8.5 이상이면 패치된 것으로 판단합니다.
pip show langflow 2>/dev/null | grep -i '^version'