🇰🇷 한글 설명
PraisonAI Platform 0.1.4 미만 버전에서 권한 우회 취약점이 발견되었습니다. 공격자는 워크스페이스 멤버 권한을 이용해 워크스페이스의 이름, 설명 및 설정 JSON 데이터를 임의로 수정할 수 있으며, 이는 설정 주입 공격으로 이어질 수 있습니다.
💡 쉬운 설명
워크스페이스에 참여 중인 일반 사용자가 관리자 권한 없이도 워크스페이스의 중요한 설정값을 마음대로 바꿀 수 있는 문제입니다. 잘못된 설정을 주입하여 시스템 전체의 동작을 조작할 위험이 있습니다.
🇺🇸 원문 (English)
PraisonAI Platform is the platform layer for the PraisonAI multi-agent teams system. Versions prior to 0.1.4 have an authorization bypass enabling workspace metadata + settings tampering. The `PATCH /workspaces/{workspace_id}` endpoint is gated only by `require_workspace_member(workspace_id)` (default `min_role="member"`). Any member can rewrite the workspace's `name`, `description`, and the `settings` JSON blob. The settings field is a free-form JSON object — depending on which downstream code reads it, this becomes a configuration-injection primitive for any setting the platform exposes there. PraisonAI Platform version 0.1.4 patches the issue.
📍 영향받는 시스템
PraisonAI Platform versions prior to 0.1.4
⚔️ 공격 벡터
PATCH /workspaces/{workspace_id} 엔드포인트를 통한 워크스페이스 설정값 변조
🛡️ 대응 방법
PraisonAI Platform을 0.1.4 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.1.4 미만인 경우 해당 취약점에 노출된 상태입니다.
pip show praisonai-platform | grep Version