🇰🇷 한글 설명
PraisonAI(praisonaiagents) 1.6.78 미만 버전의 플러그인 관리자에서 원격 코드 실행 취약점이 발견되었습니다. 이 취약점은 코드 서명이나 무결성 검증 없이 특정 디렉토리의 Python 파일을 로드하여 실행하기 때문에 발생합니다. 공격자가 플러그인 디렉토리에 악성 .py 파일을 작성할 수 있다면 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
프로그램이 외부 파일을 불러올 때 그 파일이 안전한지 확인하지 않아 발생하는 문제입니다. 해커가 가짜 파일을 몰래 끼워 넣으면 컴퓨터가 해커의 명령을 그대로 실행하게 됩니다.
🇺🇸 원문 (English)
PraisonAI (praisonaiagents) before 1.6.78 contains a remote code execution vulnerability in the plugin manager, which loads and executes arbitrary Python (.py) files from project-level and user-home .praisonai/plugins/ directories using importlib spec_from_file_location() and exec_module() without code signing, integrity verification, or sandboxing. An attacker who can write a malicious .py file to a plugin directory (for example via path traversal, a supply chain attack, or a compromised dependency) achieves arbitrary code execution when the plugin system initializes.
📍 영향받는 시스템
PraisonAI (praisonaiagents) version < 1.6.78
⚔️ 공격 벡터
경로 조작(Path Traversal)이나 공급망 공격을 통해 플러그인 디렉토리에 악성 Python 파일을 삽입하여 실행
🛡️ 대응 방법
PraisonAI를 최신 버전인 1.6.78 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.6.78보다 낮은지 확인하십시오.
pip show praisonaiagents | grep Version