🇰🇷 한글 설명
pgai 파이썬 라이브러리의 GitHub 워크플로우에서 GITHUB_TOKEN(쓰기 권한)이 노출되는 심각한 보안 취약점입니다. 공격자가 이 토큰을 탈취하면 저장소의 코드 변경, 릴리스 조작, 임의의 커밋 푸시 등 모든 권한을 갖게 됩니다. 8eb3567 커밋에서 패치되었습니다.
💡 쉬운 설명
pgai 라이브러리가 GitHub 저장소 관리 권한을 가진 비밀 토큰을 실수로 노출했습니다. 해커가 이 토큰을 얻으면 저장소의 모든 것을 조작할 수 있습니다.
🇺🇸 원문 (English)
pgai is a Python library that transforms PostgreSQL into a retrieval engine for RAG and Agentic applications. Prior to commit 8eb3567, the pgai repository was vulnerable to an attack allowing the exfiltration of all secrets used in one workflow. In particular, the GITHUB_TOKEN with write permissions for the repository, allowing an attacker to tamper with all aspects of the repository, including pushing arbitrary code and releases. This issue has been patched in commit 8eb3567.
📍 영향받는 시스템
pgai 라이브러리 (커밋 8eb3567 이전 모든 버전)
⚔️ 공격 벡터
GitHub Actions 워크플로우 실행 중 환경변수, 빌드 로그, 또는 에러 메시지를 통한 GITHUB_TOKEN 노출
🛡️ 대응 방법
pgai를 8eb3567 커밋 이후 패치된 버전으로 업그레이드하고 노출된 GITHUB_TOKEN 재생성
🔧 검증 코드
설치된 pgai의 버전을 확인하여 최신 패치 버전 이상으로 업데이트되었는지 검증합니다.
pip show pgai 2>/dev/null | grep Version || echo 'pgai not installed'