🇰🇷 한글 설명
IBM Langflow OSS 1.0.0부터 1.10.0까지의 버전에서, 인증된 사용자가 API를 통해 런타임에 컴포넌트 파라미터를 덮어쓸 수 있습니다. 이는 apply_tweaks() 함수의 파라미터 필터링 메커니즘에 존재하는 심각한 보안 결함 때문입니다.
💡 쉬운 설명
로그인한 사용자가 시스템 내부 설정값을 몰래 바꿀 수 있는 취약점입니다. 이를 악용하면 본래 허용되지 않은 동작을 시스템에서 실행하게 만들 수 있습니다.
🇺🇸 원문 (English)
IBM Langflow OSS 1.0.0 through 1.10.0 allows authenticated users to override component parameters at runtime via the API. A critical security flaw exists in the parameter filtering mechanism within the `apply_tweaks()` function.
📍 영향받는 시스템
IBM Langflow OSS 1.0.0 ~ 1.10.0
⚔️ 공격 벡터
인증된 사용자가 API 요청에 허용되지 않은 파라미터를 포함시켜 apply_tweaks() 필터를 우회하여 컴포넌트 설정을 변경
🛡️ 대응 방법
IBM이 제공하는 1.10.0 초과의 패치 버전으로 업데이트하고, 필요 시 API 접근 권한을 최소화
🔧 검증 코드
출력된 Version 값이 1.0.0 이상 1.10.0 이하이면 취약하므로 패치 버전으로 업데이트가 필요하며, 1.10.0 초과이면 해당 버전은 영향받지 않습니다.
pip show langflow 2>/dev/null | grep -i version