🇰🇷 한글 설명
WeKnora 프레임워크의 데이터베이스 쿼리 기능에서 발생하는 원격 코드 실행(RCE) 취약점입니다. PostgreSQL 배열 및 행 표현식 내의 자식 노드를 재귀적으로 검사하지 못하는 검증 결함을 악용하여 SQL 인젝션을 통해 데이터베이스 서버에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
데이터베이스에 명령을 전달할 때 보안 검사를 우회하여 해커가 서버를 마음대로 조종할 수 있는 심각한 결함입니다. 인증되지 않은 외부 공격자가 데이터베이스 권한을 이용해 악성 프로그램을 실행할 수 있습니다.
🇺🇸 원문 (English)
WeKnora is an LLM-powered framework designed for deep document understanding and semantic retrieval. Prior to version 0.2.12, a remote code execution (RCE) vulnerability exists in the application's database query functionality. The validation system fails to recursively inspect child nodes within PostgreSQL array expressions and row expressions, allowing attackers to bypass SQL injection protections. By smuggling dangerous PostgreSQL functions inside these expressions and chaining them with large object operations and library loading capabilities, an unauthenticated attacker can achieve arbitrary code execution on the database server with database user privileges. This issue has been patched in version 0.2.12.
📍 영향받는 시스템
WeKnora version 0.2.12 미만 버전
⚔️ 공격 벡터
PostgreSQL 배열/행 표현식 내에 악성 함수를 숨겨 SQL 인젝션을 통한 원격 코드 실행
🛡️ 대응 방법
WeKnora를 버전 0.2.12 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.2.12 미만이면 취약한 상태이며, 0.2.12 이상이면 안전합니다.
pip show weknora | grep Version
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server