🇰🇷 한글 설명
PraisonAI Platform 0.1.4 미만 버전에서 JWT 서명 비밀키가 하드코딩된 기본값으로 설정되어 있는 보안 취약점이 발견되었습니다. 환경 변수가 설정되지 않으면 기본값이 사용되며, 안전 검사 로직이 기본 환경 설정으로 인해 무력화되어 공격자가 임의의 권한을 가진 토큰을 생성할 수 있습니다.
💡 쉬운 설명
시스템의 출입증을 만드는 비밀번호가 누구나 알 수 있는 쉬운 단어로 설정되어 있습니다. 이를 통해 해커가 가짜 출입증을 만들어 관리자 권한으로 시스템에 몰래 들어올 수 있습니다.
🇺🇸 원문 (English)
PraisonAI Platform is the platform layer for the PraisonAI multi-agent teams system. Versions prior to 0.1.4 have an insecure default cryptographic key. The JWT signing secret defaults to the hardcoded literal `"dev-secret-change-me"` when `PLATFORM_JWT_SECRET` is unset. A safety check exists but only fires when `PLATFORM_ENV != "dev"`; the default value of `PLATFORM_ENV` is `"dev"`, so the check is silently bypassed in any deployment that does not explicitly opt out. The attacker reads the literal from this public source file, mints a JWT with arbitrary `sub` and `email` claims, and authenticates as any existing user (including workspace owners and admins). PraisonAI Platform version 0.1.4 patches the issue.
📍 영향받는 시스템
PraisonAI Platform versions prior to 0.1.4
⚔️ 공격 벡터
하드코딩된 JWT 비밀키를 이용해 임의의 사용자 권한을 가진 JWT 토큰을 위조하여 인증 우회
🛡️ 대응 방법
PraisonAI Platform을 0.1.4 버전 이상으로 업데이트하거나 PLATFORM_JWT_SECRET 환경 변수를 안전한 값으로 설정
🔧 검증 코드
출력된 버전이 0.1.4 미만인 경우 해당 취약점에 노출된 상태입니다.
pip show praisonai-platform | grep Version