🇰🇷 한글 설명
PraisonAI의 템플릿 설치 기능에서 Zip Slip 취약점으로 인한 임의 파일 쓰기 공격이 가능합니다. 외부 소스에서 다운로드한 압축 파일을 추출할 때 경로 검증 없이 zipfile.extractall()을 사용하여 의도된 디렉토리 외부에 파일을 쓸 수 있습니다. 1.5.113 버전에서 수정되었습니다.
💡 쉬운 설명
PraisonAI 템플릿 다운로드 시 악의적인 압축 파일로 원하지 않는 위치에 파일을 설치할 수 있습니다. 시스템 파일을 덮어쓰거나 악성 코드를 심을 수 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. Prior to 1.5.113, The PraisonAI templates installation feature is vulnerable to a "Zip Slip" Arbitrary File Write attack. When downloading and extracting template archives from external sources (e.g., GitHub), the application uses Python's zipfile.extractall() without verifying if the files within the archive resolve outside of the intended extraction directory. This vulnerability is fixed in 1.5.113.
📍 영향받는 시스템
PraisonAI < 1.5.113
⚔️ 공격 벡터
외부 GitHub 저장소에서 악의적으로 조작된 템플릿 압축 파일을 다운로드하여 설치할 때 디렉토리 이동(../) 문자열 포함으로 상위 디렉토리에 파일 쓰기
🛡️ 대응 방법
PraisonAI를 1.5.113 이상으로 업그레이드하고, 신뢰할 수 있는 소스의 템플릿만 사용하세요.
🔧 검증 코드
Version이 1.5.113 이상이면 안전, 미만이면 취약함
pip show praisonai | grep Version || python -c "import praisonai; print(praisonai.__version__)" 2>/dev/null