🇰🇷 한글 설명
PraisonAI 4.5.128 미만 버전의 WSGI 기반 레시피 레지스트리 서버에서 발생하는 취약점입니다. 클라이언트가 제공한 Content-Length 헤더를 기반으로 요청 본문을 제한 없이 메모리에 로드하므로, 인증이 비활성화된 상태에서 대용량 POST 요청을 통해 서버 메모리를 고갈시키고 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
공격자가 아주 큰 데이터를 서버에 보내면 서버의 메모리가 가득 차서 작동을 멈추게 만드는 공격입니다. 서버가 들어오는 데이터의 크기를 미리 제한하지 않아서 발생하는 문제입니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. Prior to 4.5.128, the WSGI-based recipe registry server (server.py) reads the entire HTTP request body into memory based on the client-supplied Content-Length header with no upper bound. Combined with authentication being disabled by default (no token configured), any local process can send arbitrarily large POST requests to exhaust server memory and cause a denial of service. The Starlette-based server (serve.py) has RequestSizeLimitMiddleware with a 10MB limit, but the WSGI server lacks any equivalent protection. This vulnerability is fixed in 4.5.128.
📍 영향받는 시스템
PraisonAI 4.5.128 미만 버전 (WSGI 기반 server.py 사용 시)
⚔️ 공격 벡터
인증이 없는 상태에서 대용량 Content-Length를 포함한 HTTP POST 요청 전송
🛡️ 대응 방법
PraisonAI를 4.5.128 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.5.128보다 낮으면 취약한 상태입니다.
pip show praisonai | grep Version