🇰🇷 한글 설명
Flowise 3.1.4 버전의 OpenAI Assistants 통합 기능에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 인증된 공격자가 워크스페이스 소유권 검증 없이 임의의 자격 증명 UUID를 제공함으로써 타인의 워크스페이스 자격 증명, 메타데이터, 파일 및 벡터 스토어 목록에 접근하거나 파일을 업로드할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 다른 사용자의 고유 번호(UUID)를 입력하여 남의 개인 정보나 파일에 몰래 접근할 수 있는 보안 결함입니다. 이를 통해 공격자는 다른 사람의 작업 공간에 파일을 올리거나 중요한 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Flowise through 3.1.4 contains an insecure direct object reference vulnerability in the OpenAI Assistants integration that allows authenticated attackers to access credentials belonging to other workspaces by supplying an arbitrary credential UUID to Assistants endpoints without workspace ownership verification. Attackers can enumerate cross-workspace assistant metadata, retrieve file and vector store listings, and upload files into victim workspaces by exploiting the missing workspace-scoped authorization check in the credential lookup logic.
📍 영향받는 시스템
Flowise version 3.1.4 and below
⚔️ 공격 벡터
인증된 공격자가 워크스페이스 검증이 누락된 API 엔드포인트에 타인의 자격 증명 UUID를 전달하여 공격
🛡️ 대응 방법
Flowise를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하고, 워크스페이스 단위의 권한 검증 로직을 적용해야 함
🔧 검증 코드
출력된 결과에서 flowise의 버전이 3.1.4 이하인지 확인하여 취약 여부를 판단합니다.
npm list flowise | grep flowise