🇰🇷 한글 설명
PraisonAI의 cmd_unpack 함수가 .praison tar 아카이브를 추출할 때 멤버 경로를 검증하지 않는 취약점이 발견되었습니다. 공격자가 ../../ 경로가 포함된 악성 번들을 배포할 경우, 사용자가 이를 압축 해제할 때 시스템의 임의 파일이 덮어씌워질 수 있습니다.
💡 쉬운 설명
압축 파일을 풀 때 파일이 저장될 위치를 제대로 확인하지 않아 발생하는 문제입니다. 나쁜 의도를 가진 압축 파일을 풀면 컴퓨터의 중요한 파일이 마음대로 바뀌거나 망가질 수 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. Prior to 4.5.128, cmd_unpack in the recipe CLI extracts .praison tar archives using raw tar.extract() without validating archive member paths. A .praison bundle containing ../../ entries will write files outside the intended output directory. An attacker who distributes a malicious bundle can overwrite arbitrary files on the victim's filesystem when they run praisonai recipe unpack. This vulnerability is fixed in 4.5.128.
📍 영향받는 시스템
PraisonAI 버전 4.5.128 미만
⚔️ 공격 벡터
악성 경로(Path Traversal)가 포함된 .praison 번들 파일을 배포하여 사용자가 이를 실행하도록 유도
🛡️ 대응 방법
PraisonAI를 최신 버전인 4.5.128 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.5.128보다 낮으면 취약한 상태입니다.
pip show praisonai | grep Version