🇰🇷 한글 설명
agent-zero 1.7, 1.8, 1.9, 1.10 버전의 python/helpers/file_browser.py 내 FileBrowser.save_file_b64 메서드에서 디렉토리 트래버설 취약점이 발견되었습니다. 해당 메서드는 사용자 제어 파일 경로를 정규화하거나 검증하지 않고 수용하여 경로 탐색 공격을 허용합니다.
💡 쉬운 설명
파일을 저장할 때 경로를 제대로 확인하지 않아, 공격자가 허용되지 않은 시스템 폴더에 파일을 저장하거나 접근할 수 있는 문제입니다. 이를 통해 중요한 시스템 파일을 덮어쓰거나 조작할 위험이 있습니다.
🇺🇸 원문 (English)
agent-zero 1.7, 1.8, 1.9, and 1.10 is vulnerable to Directory Traversal in python/helpers/file_browser.py:FileBrowser.save_file_b64. The save_file_b64 method accepts user-controlled file paths without normalization or validation, allowing path traversal attacks.
📍 영향받는 시스템
agent-zero 1.7, 1.8, 1.9, 1.10
⚔️ 공격 벡터
사용자가 조작된 파일 경로를 포함한 base64 데이터를 전송하여 시스템의 임의 디렉토리에 파일을 저장하는 방식
🛡️ 대응 방법
해당 메서드에 경로 정규화(normalization) 및 유효성 검증 로직을 추가하거나 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.7, 1.8, 1.9, 1.10 중 하나라면 해당 취약점에 노출된 상태입니다.
pip show agent-zero | grep -E 'Version'