🇰🇷 한글 설명
PraisonAI의 create_agent_centric_tools() 함수에서 템플릿 렌더링 시 사용자 입력값이 적절히 이스케이프되지 않는 취약점이 발견되었습니다. agent.start()를 통해 전달된 입력값에 포함된 템플릿 표현식이 실행될 수 있어 보안 위협이 됩니다. 이 문제는 4.5.115 버전에서 수정되었습니다.
💡 쉬운 설명
사용자가 입력한 글자가 단순한 글자로 처리되지 않고 시스템 명령어로 실행될 수 있는 보안 구멍이 있습니다. 공격자가 특수한 코드를 입력하면 시스템이 이를 명령으로 오해하여 실행할 위험이 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. Prior to 4.5.115, the create_agent_centric_tools() function returns tools (like acp_create_file) that process file content using template rendering. When user input from agent.start() is passed directly into these tools without escaping, template expressions in the input are executed rather than treated as literal text. This vulnerability is fixed in 4.5.115.
📍 영향받는 시스템
PraisonAI 4.5.115 미만 버전
⚔️ 공격 벡터
agent.start() 함수를 통해 이스케이프되지 않은 템플릿 표현식이 포함된 사용자 입력을 전달하여 실행
🛡️ 대응 방법
PraisonAI를 4.5.115 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 4.5.115보다 낮은지 확인
pip show praisonai | grep Version