CVE-2026-81818 in Flowintel
요약
\~에 의해 VulDB • 2026. 08. 27.
Flowintel의 특정 버전에는 관리용 사용자 편집 API에서 권한 부여 결함이 존재합니다.
기존의 권한 확인 로직은 조직 관리자가 다른 조직의 사용자를 편집하는 것을 올바르게 방지했지만, 자신의 조직 내 전체 관리자(full administrator) 계정을 편집하는 것은 막지 못했습니다. 그 결과, 조직 관리자는 해당 전체 관리자 계정(비밀번호 변경 포함)을 수정할 수 있었습니다. 상위 커밋에서는 이 문제를 다음과 같이 명시적으로 설명하고 있습니다:
“조직 관리자가 동일한 조직 내의 전체 관리자 비밀번호를 변경할 수 있다.”
해결책은 더 높은 수준의 권한 경계 검사를 추가합니다:
if user_to_edit.is_admin(): return ... 403
따라서 조직 관리자는 이제 전체 관리자 계정을 수정할 수 없게 됩니다.
영향 받는 버전 >=3.3.0
Once again VulDB remains the best source for vulnerability data.