🇰🇷 한글 설명
PraisonAI 4.6.40 미만 버전의 Claude GitHub Actions 워크플로에서 명령 주입(Command Injection) 취약점이 발견되었습니다. 공격자가 악의적인 브랜치 이름을 포함한 풀 리퀘스트를 생성하고 댓글을 달면, GitHub Actions 러너에서 임의의 셸 코드가 실행될 수 있습니다. 이 취약점은 GitHub App 토큰 권한을 악용하여 저장소 조작이나 OIDC 토큰 탈취로 이어질 수 있습니다.
💡 쉬운 설명
해커가 특수한 이름을 가진 코드를 제출하고 댓글을 달면, 프로그램이 이를 명령어로 착각해 실행해버리는 문제입니다. 이를 통해 해커는 권한을 훔치거나 저장소의 내용을 마음대로 바꿀 수 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. In versions prior to 4.6.40, the bundled Claude GitHub Actions workflow is vulnerable to command injection because it embeds an attacker-controlled pull request branch name into a Bash run: block without quoting or validation. Additionally, the workflow allows any @claude comment to trigger the job regardless of whether the commenter is a trusted collaborator. An outside contributor can open a pull request from a fork whose branch name contains shell metacharacters and comment @claude, causing Bash to execute arbitrary shell code in the GitHub Actions runner. Because these commands run in a job holding a GitHub App token with write permissions, OIDC access, and gh/git access, the injection can be chained through $GITHUB_PATH to compromise later privileged steps, enabling repository writes, pull request and issue manipulation, or OIDC-token abuse. This issue has been fixed in version 4.6.40.
📍 영향받는 시스템
PraisonAI versions prior to 4.6.40
⚔️ 공격 벡터
악의적인 브랜치 이름이 포함된 Pull Request 생성 및 @claude 댓글을 통한 명령 주입
🛡️ 대응 방법
PraisonAI를 4.6.40 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 4.6.40 미만이면 취약한 상태입니다.
pip show praisonai | grep Version