🇰🇷 한글 설명
PraisonAI 4.6.78 미만 버전의 deploy/api.py 파일에서 코드 주입 취약점이 발견되었습니다. agents_file 파라미터가 적절한 검증 없이 f-string에 직접 삽입되어, 공격자가 subprocess.Popen()을 통해 임의의 파이썬 코드를 실행할 수 있습니다.
💡 쉬운 설명
프로그램이 사용자가 입력한 값을 검사하지 않고 그대로 실행 명령에 포함시키는 문제입니다. 이를 통해 해커가 사용자의 컴퓨터에서 몰래 악성 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
PraisonAI versions before 4.6.78 contain a code injection vulnerability in deploy/api.py where the agents_file parameter is directly interpolated into an f-string without sanitization. Attackers can inject arbitrary Python code that executes when the generated server code runs via subprocess.Popen().
📍 영향받는 시스템
PraisonAI versions before 4.6.78
⚔️ 공격 벡터
agents_file 파라미터에 악성 파이썬 코드를 삽입하여 subprocess.Popen()을 통해 실행
🛡️ 대응 방법
PraisonAI를 최신 버전인 4.6.78 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.6.78보다 낮은지 확인하십시오.
pip show praisonai | grep Version