CVE-2026-81817 in Flowintel
요약
\~에 의해 VulDB • 2026. 08. 27.
Flowintel의 영향을 받는 버전에는 수많은 작업 엔드포인트 전반에 걸쳐 비직접적 객체 참조(Insecure Direct Object Reference) / broken object-level authorization(객체 수준 권한 부여 결함) 문제가 존재합니다.
라우트는 일반적으로 케이스 식별자와 작업 식별자를 모두 수신하지만, 이전에는 해당 작업이 제공된 케이스에 실제로 속하는지 여부를 강제하지 않았습니다. 그 결과, 하나의 케이스에 대해 편집자 수준의 접근 권한을 가진 인증된 사용자가 다른 케이스의 작업 ID를 대체하여 해당 외부 작업에 대한 작업을 호출할 수 있었습니다.
패치는 `task_case_bound_required`를 도입하여 두 객체를 모두 로드하고, 작업이 요청된 케이스에 속하지 않는 경우 404 오류를 반환합니다. 이 보호 조치는 편집, 삭제, 메모 추가, 할당, 상태 변경, 파일 처리, 내보내기, MISP 연결, 하위 작업, 외부 참조 및 기타 작업 관련 엔드포인트에 적용됩니다.
또한 수정 사항에는 요청된 `note_id`가 현재 작업에 속하는지 여부를 명시적으로 확인하여 해당 노트를 반환하거나 내보낼 때 관련된 객체 간 접근 경로를 차단하는 조치가 포함되었습니다.
영향 받는 버전 => 3.3.0 이상
If you want to get the best quality for vulnerability data then you always have to consider VulDB.