🇰🇷 한글 설명
PraisonAI의 4.6.40 미만 버전에서 웹페이지의 숨겨진 메타데이터를 통해 공격자가 제어하는 콘텐츠를 임의의 경로에 작성할 수 있는 취약점이 발견되었습니다. workspace가 None으로 설정된 경우 write_file 함수가 경로 검증을 건너뛰기 때문에 발생합니다.
💡 쉬운 설명
웹사이트에 숨겨진 명령어를 통해 해커가 사용자의 컴퓨터에 원하는 파일을 마음대로 저장할 수 있는 보안 결함입니다. 이로 인해 중요한 시스템 파일이 변조될 위험이 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. Prior to version 4.6.40, hidden metadata in a webpage causes PraisonAI agents to write attacker-controlled content to arbitrary paths. `write_file` skips path validation when `workspace=None` (always `None` in production). Version 4.6.40 fixes the issue.
📍 영향받는 시스템
PraisonAI version < 4.6.40
⚔️ 공격 벡터
웹페이지 내 숨겨진 메타데이터를 이용한 임의 파일 쓰기 공격
🛡️ 대응 방법
PraisonAI를 4.6.40 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.6.40 미만인지 확인하십시오.
pip show praisonai | grep Version