🇰🇷 한글 설명
PraisonAI 4.6.58 이전 버전의 Jobs API 내 validate_webhook_url() 경로에서 소켓 오류 발생 시 검증을 통과해버리는 결함이 존재합니다. 공격자가 조작된 webhook_url을 사용하여 검증을 우회한 뒤, 나중에 해당 주소를 127.0.0.1이나 169.254.169.254와 같은 내부 주소로 해석하게 만들어 내부 네트워크에 접근할 수 있습니다.
💡 쉬운 설명
웹훅 주소가 안전한지 확인하는 과정에서 오류가 나면 검사를 건너뛰고 통과시켜버리는 보안 허점이 있습니다. 이를 통해 해커가 내부 서버나 관리자 페이지에 몰래 접속할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. Prior to praisonai 4.6.58, the Jobs API validate_webhook_url() path fails open on socket.gaierror and does not bind the validated address to the later request. An attacker webhook_url can later resolve to 127.0.0.1, 169.254.169.254, or another internal address. This issue is fixed in version 4.6.58.
📍 영향받는 시스템
PraisonAI 4.6.58 미만 버전
⚔️ 공격 벡터
검증 단계에서 오류를 유도하는 webhook_url을 입력한 후, DNS 응답을 조작하여 내부 IP로 연결하는 방식
🛡️ 대응 방법
PraisonAI를 최신 버전인 4.6.58 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.6.58보다 낮은지 확인하십시오.
pip show praisonai 2>/dev/null | grep Version