🇰🇷 한글 설명
PraisonAI는 멀티 에이전트 팀 시스템으로, 2.4.1 버전부터 4.6.34 미만 버전까지 SQL/CQL 기반 지식 저장소 구현 시 검증되지 않은 이름과 컬렉션 인자를 사용하여 테이블 및 인덱스 식별자를 생성합니다. 신뢰할 수 없는 컬렉션 이름이 백엔드로 전달될 경우 SQL 또는 CQL 인젝션 공격이 발생할 수 있습니다.
💡 쉬운 설명
프로그램이 데이터베이스 이름을 만들 때 사용자가 입력한 값을 제대로 검사하지 않아 발생하는 문제입니다. 공격자가 특수하게 조작된 이름을 입력하면 데이터베이스를 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. From version 2.4.1 to before version 4.6.34, PraisonAI exposes optional SQL/CQL-backed knowledge-store implementations that build table and index identifiers from unvalidated name and collection arguments. Applications that pass untrusted collection names into these backends can trigger SQL or CQL injection. This issue has been patched in version 4.6.34.
📍 영향받는 시스템
PraisonAI version 2.4.1 to < 4.6.34
⚔️ 공격 벡터
검증되지 않은 컬렉션 이름을 통해 SQL 또는 CQL 인젝션 공격 수행
🛡️ 대응 방법
PraisonAI를 4.6.34 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전이 4.6.34 미만이면 취약한 상태이며, 4.6.34 이상이면 안전합니다.
pip show praisonai | grep Version