🇰🇷 한글 설명
PraisonAI Gateway 서버에서 인증 없이 WebSocket 연결 및 에이전트 정보 조회가 가능한 취약점이 발견되었습니다. 공격자는 이를 통해 등록된 에이전트를 열람하고 에이전트 및 도구 세트에 임의의 메시지를 전송할 수 있습니다.
💡 쉬운 설명
누구나 인증 없이 시스템에 접속하여 내부 정보를 훔쳐보거나 명령을 내릴 수 있는 보안 구멍이 있습니다. 이로 인해 인공지능 에이전트가 공격자의 의도대로 조작될 위험이 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. Prior to version 4.5.97, the PraisonAI Gateway server accepts WebSocket connections at /ws and serves agent topology at /info with no authentication. Any network client can connect, enumerate registered agents, and send arbitrary messages to agents and their tool sets. This issue has been patched in version 4.5.97.
📍 영향받는 시스템
PraisonAI version 4.5.97 미만 버전
⚔️ 공격 벡터
인증되지 않은 네트워크 클라이언트가 /ws 및 /info 엔드포인트를 통해 접근
🛡️ 대응 방법
PraisonAI를 버전 4.5.97 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 4.5.97보다 낮은지 확인하십시오.
pip show praisonai | grep Version