🇰🇷 한글 설명
Flowise 3.1.4 이하 버전에서 인증된 워크스페이스 멤버가 권한이 없는 문서 저장소 작업을 수행할 수 있는 권한 누락 취약점이 발견되었습니다. 공격자는 조회 권한만 가진 상태에서도 보호되지 않은 변조 엔드포인트에 직접 HTTP 요청을 보내 문서 주입, 벡터 데이터베이스 갱신, 임베딩 API 크레딧 소모 및 지식 베이스 수정을 수행할 수 있습니다.
💡 쉬운 설명
사용자 권한 설정이 제대로 되어 있지 않아, 읽기 권한만 있는 사람이 몰래 데이터를 수정하거나 삭제할 수 있는 문제입니다. 이로 인해 시스템 비용이 발생하거나 챗봇이 잘못된 정보를 학습하게 될 위험이 있습니다.
🇺🇸 원문 (English)
Flowise through 3.1.4 contains a missing authorization vulnerability that allows authenticated workspace members to perform unauthorized document store operations by accessing unprotected mutation endpoints. Attackers holding only view-level permissions can send direct HTTP requests to the upsert and refresh document store routes to trigger document ingestion, refresh vector database contents, consume embedding API credits, and modify knowledge bases used by downstream chatflows.
📍 영향받는 시스템
Flowise version 3.1.4 and below
⚔️ 공격 벡터
인증된 사용자가 보호되지 않은 HTTP mutation 엔드포인트(upsert, refresh)로 직접 요청을 전송
🛡️ 대응 방법
Flowise를 최신 보안 패치가 적용된 버전으로 업데이트하고 엔드포인트 접근 제어를 강화하십시오.
🔧 검증 코드
출력된 버전이 3.1.4 이하인지 확인하여 취약 여부를 판단합니다.
npm list flowise --depth=0 | grep flowise