🇰🇷 한글 설명
Pi.Alert의 웹 설정 편집기에서 pialert.conf 파일에 임의의 Python 코드를 주입할 수 있는 취약점입니다. 백그라운드 스캔 데몬이 Python exec()로 이 파일을 로드하면서 주입된 코드가 데몬 권한으로 실행되며, 웹 보호가 기본적으로 비활성화되어 있어 인증 없이 원격 코드 실행이 가능합니다.
💡 쉬운 설명
Pi.Alert의 설정을 편집하는 웹페이지에서 악의적인 코드를 입력하면 서버에서 그 코드가 실행됩니다. 누구나 접속할 수 있는 상태에서 가능하므로 매우 위험합니다.
🇺🇸 원문 (English)
Pi.Alert is a WIFI / LAN intruder detector with web service monitoring. Prior to 2026-05-07, Pi.Alert's web-based configuration editor allows arbitrary Python code to be injected into pialert.conf. Since the background scan daemon loads this file via Python's exec(), injected code executes as the daemon process. With web protection disabled (the default configuration), no authentication is required, making this an unauthenticated Remote Code Execution vulnerability. This vulnerability is fixed in 2026-05-07.
📍 영향받는 시스템
Pi.Alert 2026-05-07 이전 모든 버전
⚔️ 공격 벡터
비활성화된 웹 보호 상태에서 설정 편집 엔드포인트에 Python 코드 주입
🛡️ 대응 방법
Pi.Alert를 2026-05-07 이후 버전으로 업데이트하거나 웹 보호 기능 활성화
🔧 검증 코드
설치된 Pi.Alert 버전을 확인하여 2026-05-07 이후 버전인지 확인 (Version이 변경된 날짜 이후면 안전)
pip show pi-alert 2>/dev/null | grep -E "Name|Version" || dpkg -l | grep pialert