🇰🇷 한글 설명
langgenius Dify 1.14.2 이하 버전의 Jinja2 Handler 구성 요소에서 템플릿 엔진의 특수 요소를 적절히 중화하지 못하는 보안 결함이 발견되었습니다. 이 취약점을 통해 공격자는 원격에서 템플릿 조작을 시도할 수 있으며, 현재 공격 코드가 공개되어 실제 공격에 악용될 위험이 있습니다.
💡 쉬운 설명
프로그램이 템플릿을 처리할 때 입력값을 제대로 검사하지 않아 발생하는 문제입니다. 해커가 특수한 명령어를 입력하면 시스템을 원격에서 조작할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
A security flaw has been discovered in langgenius dify up to 1.14.2. This issue affects the function jinja2.Template of the file api/core/helper/code_executor/jinja2/jinja2_transformer.py of the component Jinja2 Handler. The manipulation results in improper neutralization of special elements used in a template engine. The attack may be launched remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
📍 영향받는 시스템
langgenius Dify 1.14.2 이하 모든 버전
⚔️ 공격 벡터
원격에서 조작된 Jinja2 템플릿 입력을 통한 공격
🛡️ 대응 방법
Dify를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.14.2 이하인지 확인하여 취약 여부를 판단합니다.
docker exec <container_id> cat /app/version 2>/dev/null || echo 'version check required'