🇰🇷 한글 설명
PandasAI의 interactive prompt 함수에서 prompt injection 취약점이 발견되었습니다. 공격자는 특수하게 조작된 입력을 통해 의도되지 않은 Python 코드를 실행할 수 있어 원격 코드 실행(RCE)이 가능합니다.
💡 쉬운 설명
PandasAI라는 데이터 분석 도구에서 사용자 입력을 제대로 검증하지 않아, 악의적인 명령어를 심어서 컴퓨터를 제어할 수 있습니다. 마치 대화형 채팅에서 숨겨진 지시문을 통해 프로그램의 행동을 바꾸는 것과 같습니다.
🇺🇸 원문 (English)
PandasAI uses an interactive prompt function that is vulnerable to prompt injection and run arbitrary Python code that can lead to Remote Code Execution (RCE) instead of the intended explanation of the natural language processing by the LLM.
📍 영향받는 시스템
PandasAI < 2.3.0 (정확한 버전은 공식 보안 권고 참고)
⚔️ 공격 벡터
interactive prompt 함수에 특수 문자/명령어를 포함한 입력값 전달
🛡️ 대응 방법
PandasAI를 최신 패치 버전으로 업그레이드 (2.3.0 이상 권장)
🔧 검증 코드
출력된 버전이 2.3.0 이상이면 패치됨, 그 이하면 즉시 업그레이드 필요
python -c "import pandasai; print(pandasai.__version__)" 2>/dev/null || pip show pandasai | grep -i version