IBM Langflow OSS 1.0.0~1.10.0에서는 인증되지 않은 공격자가 모든 Langflow 인스턴스에서 무제한 사용자 계정을 생성할 수 있습니다. NEW_USER_IS_ACTIVE=true(문서화된 배포 옵션)인 경우 새로 생성된 계정은 즉시 활성화되며 AUTO_LOGIN의 필요성을 우회하여 RCE 끝점에 도달하도록 인증할 수 있습니다.
IBM Langflow OSS 1.0.0~1.10.0에서는 인증되지 않은 공격자가 모든 Langflow 인스턴스에서 무제한 사용자 계정을 생성할 수 있습니다. NEW_USER_IS_ACTIVE=true(문서화된 배포 옵션)인 경우 새로 생성된 계정은 즉시 활성화되며 AUTO_LOGIN의 필요성을 우회하여 RCE 끝점에 도달하도록 인증할 수 있습니다.
왜 이 VPI인가 (설명가능 · 실험적)
VPI 산정 기준
| 영향도 | 98.00 |
| 악용 신호(추가 악용신호 없음) | ×1.00 |
| VPI | 98.00 |
VPI 공식 vpi-v1 기준