🇰🇷 한글 설명
PraisonAI의 4.6.78 미만 버전에서 `deploy/api.py` 모듈이 `agents_file` 파라미터를 f-string에 직접 삽입하여 서버 코드를 생성하는 취약점이 발견되었습니다. 공격자가 이 파라미터를 제어할 수 있다면 임의의 파이썬 코드를 주입하여 실행할 수 있습니다.
💡 쉬운 설명
프로그램이 사용자가 입력한 파일 이름을 검사하지 않고 그대로 실행 가능한 코드로 만들어버리는 문제입니다. 이를 통해 해커가 사용자의 컴퓨터에서 원하는 명령을 마음대로 실행할 수 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. Prior to version 4.6.78, the `deploy/api.py` module generates Python server code by directly interpolating the `agents_file` parameter into an f-string that is then written to a file and executed via `subprocess.Popen()`. An attacker who controls the `agents_file` value (via CLI argument, configuration, or upstream API) can inject arbitrary Python code. Version 4.6.78 patches the issue.
📍 영향받는 시스템
PraisonAI version 4.6.78 미만 모든 버전
⚔️ 공격 벡터
CLI 인자, 설정 파일 또는 상위 API를 통해 조작된 `agents_file` 값을 전달하여 코드 주입
🛡️ 대응 방법
PraisonAI를 최신 버전인 4.6.78 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.6.78보다 낮으면 취약한 상태입니다.
pip show praisonai | grep Version