🇰🇷 한글 설명
PraisonAI 4.6.78 미만 버전의 Jobs API(/api/v1/runs)에서 인증되지 않은 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. webhook_url 매개변수가 요청 시점과 연결 시점에 다르게 해석되는 점을 악용하여, 공격자가 DNS Rebinding을 통해 내부 서비스에 접근할 수 있는 Blind SSRF 공격이 가능합니다.
💡 쉬운 설명
해커가 가짜 주소를 이용해 서버가 내부 네트워크에 있는 중요한 컴퓨터에 몰래 접속하도록 명령을 내릴 수 있는 문제입니다. 이를 통해 외부에서는 볼 수 없는 내부 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
PraisonAI before 4.6.78 contains an unauthenticated server-side request forgery vulnerability in the Jobs API /api/v1/runs endpoint. The webhook_url parameter is validated at request time but re-resolved at connection time, allowing attackers to use DNS rebinding to reach internal services with a blind SSRF attack.
📍 영향받는 시스템
PraisonAI version < 4.6.78
⚔️ 공격 벡터
DNS Rebinding을 이용한 Blind SSRF 공격
🛡️ 대응 방법
PraisonAI를 4.6.78 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.6.78보다 낮은지 확인하십시오.
pip show praisonai | grep Version