🇰🇷 한글 설명
Flowise 3.1.3 미만 버전에서 GET /api/v1/upsert-history API 호출 시 사용자나 워크스페이스에 관계없이 서버 전체의 업서트 기록이 노출되는 취약점이 발견되었습니다. 이 응답에는 Qdrant 서버 URL 및 컬렉션 이름과 같은 민감한 벡터 스토어 설정 정보가 포함되어 있어 추가적인 공격에 악용될 수 있습니다.
💡 쉬운 설명
Flowise라는 도구에서 권한 확인이 제대로 되지 않아, 다른 사용자의 중요한 설정 정보가 담긴 전체 기록을 누구나 볼 수 있는 보안 결함입니다. 이 정보를 통해 공격자가 데이터베이스 서버의 주소나 이름을 알아내어 시스템을 공격할 수 있습니다.
🇺🇸 원문 (English)
Flowise is a drag-and-drop user interface for building customized large language model (LLM) flows. Prior to 3.1.3, Flowise GET /api/v1/upsert-history returns the entire server-wide upsert history instead of being scoped to the requesting user, tenant, or workspace. The response can exceed 100MB and includes sensitive configuration data, including Vector Store settings such as Qdrant Server URL and collection name. The observed behavior indicates missing or insufficient authorization checks, workspace/project/tenant isolation, and pagination or limits, exposing integration parameters and infrastructure details that may enable further targeted attacks. This issue is fixed in version 3.1.3.
📍 영향받는 시스템
Flowise versions prior to 3.1.3
⚔️ 공격 벡터
권한 없는 사용자가 특정 API 엔드포인트(GET /api/v1/upsert-history)를 호출하여 민감한 데이터를 탈취
🛡️ 대응 방법
Flowise를 최신 보안 패치가 적용된 버전 3.1.3 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 flowise 버전이 3.1.3 미만으로 표시되면 취약한 상태입니다.
npm list flowise | grep -E 'flowise@([0-2]\.|3\.[0-2])'