🇰🇷 한글 설명
Flowise 3.1.4 미만 버전에서 /api/v1/text-to-speech/abort 엔드포인트에 인증되지 않은 서비스 거부(DoS) 취약점이 존재합니다. 공격자가 소유권 검증 없이 chatflowId와 chatId를 사용하여 다른 사용자의 활성 채팅 흐름 예측을 강제로 종료할 수 있습니다.
💡 쉬운 설명
해커가 다른 사용자가 사용 중인 AI 채팅 기능을 강제로 중단시킬 수 있는 보안 결함입니다. 특정 ID 값만 알면 인증 없이도 서비스 이용을 방해할 수 있습니다.
🇺🇸 원문 (English)
Flowise versions before 3.1.4 contain an unauthenticated denial of service vulnerability in the /api/v1/text-to-speech/abort endpoint that accepts user-supplied chatflowId and chatId without ownership verification. Attackers can terminate active chatflow predictions for any user by submitting requests with known chatflow and chat identifiers, causing targeted service disruption.
📍 영향받는 시스템
Flowise versions before 3.1.4
⚔️ 공격 벡터
인증되지 않은 사용자가 특정 chatflowId와 chatId를 포함한 HTTP 요청을 전송하여 서비스 중단 유도
🛡️ 대응 방법
Flowise를 최신 버전인 3.1.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.1.4 미만인지 확인하십시오.
npm list flowise | grep -E 'flowise@'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
💻 영향받는 소프트웨어
Windows iSCSI Target Service