🇰🇷 한글 설명
Heym 0.0.53 미만 버전의 워크플로우 실행기 서비스에서 Python의 eval() 함수를 사용할 때 샌드박싱이 불충분하게 이루어지는 취약점이 발견되었습니다. 인증된 사용자가 워크플로우 조건 노드를 수정하거나 악성 템플릿을 가져오면 백엔드 프로세스 권한으로 임의의 Python 및 OS 명령을 실행할 수 있습니다.
💡 쉬운 설명
프로그램이 사용자의 명령어를 검사하지 않고 그대로 실행하는 허점이 있어, 해커가 시스템을 마음대로 조종할 수 있는 상태입니다. 권한이 있는 사용자가 나쁜 코드를 심으면 컴퓨터 전체가 위험해질 수 있습니다.
🇺🇸 원문 (English)
Heym before 0.0.53 evaluates workflow condition expressions using Python's eval() with insufficient sandboxing in the workflow executor service. Authenticated users can edit workflow condition nodes or import malicious templates to execute arbitrary Python and OS commands as the backend process user.
📍 영향받는 시스템
Heym 0.0.53 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 워크플로우 조건 노드 수정 또는 악성 템플릿 임포트를 통한 코드 주입
🛡️ 대응 방법
Heym을 0.0.53 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.0.53 미만이면 취약한 상태이며, 0.0.53 이상이면 안전합니다.
pip show heym 2>/dev/null | grep -E 'Version'