🇰🇷 한글 설명
PraisonAI Platform 0.1.4 미만 버전에서 발생하는 부적절한 직접 객체 참조(IDOR) 취약점입니다. 의존성 관련 엔드포인트가 워크스페이스 멤버십만 확인하고 실제 이슈나 의존성 ID의 소유권을 검증하지 않아, 공격자가 데이터베이스 내 임의의 이슈 간에 관계를 생성할 수 있습니다.
💡 쉬운 설명
사용자가 권한이 없는 다른 사람의 작업 데이터에 접근하거나 마음대로 수정할 수 있는 보안 결함입니다. 공격자가 시스템 내의 서로 다른 작업들을 강제로 연결하여 데이터의 무결성을 해칠 수 있습니다.
🇺🇸 원문 (English)
PraisonAI Platform is the platform layer for the PraisonAI multi-agent teams system. Versions prior to 0.1.4 have an Insecure Direct Object Reference. The dependency endpoints (`POST/GET /workspaces/{workspace_id}/issues/{issue_id}/dependencies` and `DELETE .../dependencies/{dep_id}`) gate access on `require_workspace_member(workspace_id)` only, then dispatch to `DependencyService` calls that take URL/body-supplied issue and dependency IDs without verifying any of them belong to the membership-checked workspace. Most damaging: `create_dependency` accepts `body.depends_on_issue_id` from the request body — that ID is checked against nothing — letting an attacker create a "blocks" or "related" link between any two issues anywhere in the database. PraisonAI Platform version 0.1.4 patches the issue.
📍 영향받는 시스템
PraisonAI Platform versions prior to 0.1.4
⚔️ 공격 벡터
조작된 issue_id 또는 dep_id를 포함한 HTTP 요청(POST/GET/DELETE)을 전송하여 권한 없는 데이터 조작
🛡️ 대응 방법
PraisonAI Platform을 최신 패치 버전인 0.1.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Version이 0.1.4 미만이면 취약한 상태이며, 0.1.4 이상이면 안전합니다.
pip show praisonai-platform 2>/dev/null | grep -E 'Version'