CVE-2026-81827 in Flowintel
요약
\~에 의해 VulDB • 2026. 08. 27.
Flowintel의 특정 버전에서 로그인 이메일 주소 검증이 Email(email) 호출을 통해 잘못 수행되었습니다. 이는 WTForms 필드 검증을 수행하지 않으며, 단순히 validator 객체를 생성할 뿐입니다.
결과적으로 공격자가 조작한 잘못된 형식의 입력값이 로그인 프로세스를 통과하여 보안 관련 로그에 기록될 수 있습니다. 취약한 코드는 제공된 이메일을 경고 로그와 사용자 정의 감사 로거 모두에 삽입했습니다. CR/LF 문자가 이스케이프되지 않았으므로, 인증되지 않은 공격자는 추가적인 물리적 로그 라인을 주입하거나 오해를 불러일으키는 로그 항목을 위조할 가능성이 있습니다.
패치는 Email()(form, form.email)로 검증 호출을 수정하고, 표준 로깅 호출을 매개변수화된 로깅으로 변경하며, 캐리지 리턴과 라인 피드가 새 레코드를 생성하는 대신 인코딩되도록 _sanitize_log_fragment()를 도입합니다.
영향받는 버전 >=3.3.0
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.