🇰🇷 한글 설명
LaVague 0.2.35 버전의 PythonFromMarkdownExtractor.extract_as_object 함수에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. 공격자가 웹 페이지에 악성 코드를 삽입하여 간접 프롬프트 주입을 수행할 경우, 검토 없이 운영자 호스트에서 임의의 코드가 실행될 수 있습니다.
💡 쉬운 설명
웹사이트의 내용을 읽어오는 과정에서 악성 코드가 섞여 들어올 경우, 컴퓨터가 이를 명령어로 착각해 실행해버리는 문제입니다. 공격자가 웹 페이지를 조작해 사용자의 컴퓨터를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
LaVague 0.2.35 contains a remote code execution vulnerability in PythonFromMarkdownExtractor.extract_as_object that evaluates untrusted language model output derived from web page content. Attackers can inject malicious Python code through web pages using indirect prompt injection to execute arbitrary code on the operator's host without review.
📍 영향받는 시스템
LaVague 0.2.35 이하 버전
⚔️ 공격 벡터
웹 페이지를 통한 간접 프롬프트 주입(Indirect Prompt Injection) 및 악성 Python 코드 실행
🛡️ 대응 방법
LaVague를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 신뢰할 수 없는 웹 콘텐츠의 처리를 제한해야 합니다.
🔧 검증 코드
출력된 Version 값이 0.2.35와 같거나 그보다 낮으면 취약한 상태입니다.
pip show lavague | grep -E 'Version'