CVE-2026-50173 in Flow-Like
요약
\~에 의해 VulDB • 2026. 08. 19.
Flow-Like는 엔드투엔드 사용 사례를 구축하기 위한 플랫폼입니다. 버전 1.0.4 이전의 `GET /api/v1/apps/{app_id}/invoke/presign`은 앱 콘텐츠에 대한 쓰기 및 삭제 권한이 있는 Azure Blob Storage SAS 자격 증명을, `ReadFiles`와 `WriteFiles`가 없더라도 `ExecuteEvents` 권한을 가진 모든 앱 구성원에게 부여합니다. 해당 라우트는 `ExecuteEvents` 게이트 이후 파일 권한을 선택적(optional)으로 처리합니다. 호출자가 파일 권한을 모두 가지고 있지 않은 경우, `CredentialsAccess::InvokeNone`가 선택됩니다. Azure 자격 증명 제공자(Azure credential provider)에서 `InvokeNone`는 여전히 `apps/{app_id}`에 대해 `sp=rwdl`(쓰기, 읽기, 삭제, 목록 나열) 설정과 사용자 콘텐츠 및 로그 SAS 토큰을 발급합니다. 반환된 공유 자격 증명은 권한이 낮은 호출자가 앱 콘텐츠 접두사 아래의 blob을 직접 쓰거나 삭제하는 데 충분합니다. 버전 1.0.4는 이 문제를 패치했습니다. Flow-Like Studio와 호스팅되는 Flow-Like Web App은 영향을 받지 않습니다. 이러한 배포는 AWS 기반 스토리지를 사용합니다. 자체 호스팅(self-hosted) 배포의 경우 Azure Blob Storage를 스토리지 백엔드로 사용하는 경우에만 영향이 있습니다. 영향받는 배포에서 이 문제는 워크플로우 실행 권한은 있지만 앱 파일 쓰기/삭제 권한을 가져서는 안 되는 인증된(app authenticated) 앱 구성원에게만 적용됩니다. 영향을 받는 자체 호스팅 Azure 배포의 사용자는 버전 1.0.4 또는 최신 dev 브랜치로 업데이트해야 합니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.