🇰🇷 한글 설명
PraisonAI Platform 0.1.4 미만 버전에서 워크스페이스 권한 확인 로직의 결함으로 인해 발생하는 수직적 권한 상승 취약점입니다. 인증된 저권한 사용자가 관리자 권한을 가진 'owner'로 자신의 역할을 격상시키거나 다른 사용자의 권한을 임의로 변경할 수 있습니다.
💡 쉬운 설명
일반 사용자 권한을 가진 사람이 시스템의 관리자 권한을 몰래 획득할 수 있는 보안 결함입니다. 이를 통해 다른 사용자를 쫓아내거나 워크스페이스의 모든 제어권을 탈취할 수 있습니다.
🇺🇸 원문 (English)
PraisonAI Platform is the platform layer for the PraisonAI multi-agent teams system. Versions prior to 0.1.4 have a broken workspace authorization check that allows any authenticated low-privilege workspace member to escalate their own role to `owner`. The issue is caused by privileged workspace-management routes using the shared dependency `require_workspace_member(...)` without requiring `admin` or `owner`. The dependency defaults to `min_role="member"`, so routes that should be administrative are accessible to ordinary workspace members. As a result, a normal workspace member can promote their own account from `member` to `owner`; add arbitrary users as `owner` or `admin`; change other members' roles; remove legitimate owners or members; take over workspace membership completely; and/or perform destructive workspace operations after escalation. This is a broken access control / vertical privilege escalation vulnerability. PraisonAI Platform version 0.1.4 patches the issue.
📍 영향받는 시스템
PraisonAI Platform 0.1.4 미만 모든 버전
⚔️ 공격 벡터
인증된 저권한 사용자가 권한 검증이 미흡한 관리용 API 경로를 호출하여 자신의 역할을 변경
🛡️ 대응 방법
PraisonAI Platform을 최신 보안 패치가 적용된 0.1.4 버전 이상으로 업데이트
🔧 검증 코드
출력된 Version 값이 0.1.4 미만이면 취약한 상태이며, 0.1.4 이상이면 안전합니다.
pip show praisonai-platform 2>/dev/null | grep -E 'Version'