무슨 일이 있었나
IBM Langflow OSS 1.0.0부터 1.10.1까지는 공개 흐름 빌드 엔드포인트(/api/v1/build_public_tmp/{flow_id}/flow)에서 인증되지 않은 원격 코드 실행 취약점을 포함합니다. 이 취약점은 validate_public_flow_no_code_execution() 함수의 불완전한 차단 목록에서 비롯되며, 엔드포인트(이전에 능동적으로 악용된 KEV 나열 CVE-2026-33017의 대상)가 여전히 특정 공격자 제공 코드 패턴이 인증 없이 exec()에 도달하도록 허용합니다. NVD에 2026-07-17 발표, CVSS 8.1 (High).
왜 중요한가
이와 동일한 엔드포인트 클래스는 CVE-2026-33017의 대상이었으며, CISA는 공개 후 20시간 내에 공격자가 권고를 무기화하고 이를 사용하여 LLM 제공자 API 키, AWS/클라우드 자격증명을 수집하고 손상된 인스턴스에 드로퍼를 배포한 후 KEV에 추가했습니다. 수정 사항의 차단 목록이 불완전하다는 것은 LLM 제공자 API, 내부 데이터베이스 및 클라우드 계정에 직접 통합된 플랫폼에서 동일한 인증되지 않은 RCE 클래스가 대규모 AI 에이전트 배포 인구 전역에 지속된다는 의미입니다.
공격 경로
validate_public_flow_no_code_execution() 차단 목록을 회피하는 코드가 포함된 crafted flow 데이터를 사용하여 /api/v1/build_public_tmp/{flow_id}/flow에 대한 인증되지 않은 POST로 샌드박스되지 않은 exec()에 도달합니다.
영향받는 시스템
IBM Langflow OSS 1.0.0부터 1.10.1까지
완화 방안
1.10.1 이상의 IBM 수정사항 적용; 가능한 경우 공개 흐름 노출 제한/제거; IBM Support 공지사항을 참조하세요.