🇰🇷 한글 설명
poco-ai poco-claw 0.5.4 이하 버전의 executor/app/api/v1/task.py 내 run_task 함수에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자가 callback_url 인자를 조작하여 원격에서 서버에 악의적인 요청을 보낼 수 있으며, 현재 공개된 익스플로잇이 존재합니다.
💡 쉬운 설명
해커가 서버를 조종하여 서버가 마치 스스로 내부 네트워크나 다른 사이트에 접속하는 것처럼 속이는 공격입니다. 이로 인해 서버 내부의 중요한 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
A vulnerability was identified in poco-ai poco-claw up to 0.5.4. This issue affects the function run_task of the file executor/app/api/v1/task.py. The manipulation of the argument callback_url leads to server-side request forgery. The attack is possible to be carried out remotely. The exploit is publicly available and might be used. The reported GitHub issue was closed automatically due to inactivity.
📍 영향받는 시스템
poco-ai poco-claw 0.5.4 이하 버전
⚔️ 공격 벡터
원격에서 run_task 함수의 callback_url 인자 조작을 통한 SSRF 공격
🛡️ 대응 방법
poco-claw를 최신 보안 패치가 적용된 버전으로 업데이트하거나, callback_url 입력값에 대한 화이트리스트 검증 로직을 추가하십시오.
🔧 검증 코드
출력된 버전이 0.5.4 이하인지 확인하여 취약 여부를 판단합니다.
pip show poco-claw | grep Version