🇰🇷 한글 설명
Activepieces 0.80.0 미만 버전의 SANDBOX_CODE_ONLY 모드에서 보안 결함이 발견되었습니다. 사용자 모듈이 V8 격리 적용 전 Node.js의 require()를 통해 로드되므로, 공격자가 샌드박스를 우회하여 호스트 엔진 프로세스의 파일 시스템 및 환경 변수에 접근할 수 있습니다.
💡 쉬운 설명
AI 자동화 도구의 보안 벽이 뚫려, 악의적인 코드를 작성하면 서버의 중요한 비밀번호나 파일을 훔쳐갈 수 있는 문제입니다. 샌드박스라는 보호 구역이 작동하기 전에 코드가 실행되는 허점이 원인입니다.
🇺🇸 원문 (English)
Activepieces is an open source AI workflow automation platform. Prior to 0.80.0, in SANDBOX_CODE_ONLY mode, the engine loads the compiled user module with importFresh(), a wrapper around Node.js require(), before the V8 isolate is applied. Top-level module code can therefore call require('child_process'), access fs, and use other Node.js APIs in the host engine process outside the sandbox. An authenticated user who can create a Code step can read environment secrets including AP_ENCRYPTION_KEY and AP_JWT_SECRET, read or write files, and reach internal services. This issue is fixed in version 0.80.0.
📍 영향받는 시스템
Activepieces 0.80.0 미만 버전 (SANDBOX_CODE_ONLY 모드 사용 시)
⚔️ 공격 벡터
인증된 사용자가 Code 단계를 생성하여 child_process나 fs와 같은 Node.js API를 호출하는 악성 모듈 실행
🛡️ 대응 방법
Activepieces를 최신 버전인 0.80.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 0.80.0 미만인지 확인하여 취약 여부를 판단합니다.
curl -s http://localhost:PORT/api/version | grep -E '0\.[8-9][0-9]' || echo 'Version is safe or unknown'