🇰🇷 한글 설명
PraisonAI 4.6.78 미만 버전에서 API 서버용 Python 소스 코드를 생성할 때 배포 설정 값을 안전하게 인코딩하지 못하는 취약점이 발견되었습니다. 공격자는 deploy.api.host 및 agents_file 파라미터를 통해 임의의 Python 표현식을 주입할 수 있으며, 이는 서버 시작 또는 요청 처리 시 실행됩니다.
💡 쉬운 설명
프로그램 설정값에 악성 코드를 몰래 끼워 넣어 서버를 조종할 수 있는 보안 약점입니다. 공격자가 입력한 명령어가 서버가 작동할 때 자동으로 실행되어 시스템이 위험에 처할 수 있습니다.
🇺🇸 원문 (English)
PraisonAI before 4.6.78 fails to safely encode deployment configuration values when generating Python source code for API servers. Attackers can inject arbitrary Python expressions through the deploy.api.host and agents_file configuration parameters that execute when the generated server starts or handles requests.
📍 영향받는 시스템
PraisonAI 4.6.78 미만 모든 버전
⚔️ 공격 벡터
설정 파라미터(deploy.api.host, agents_file)를 통한 Python 코드 주입
🛡️ 대응 방법
PraisonAI를 최신 버전인 4.6.78 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.6.78보다 낮으면 취약한 상태입니다.
pip show praisonai | grep Version