🇰🇷 한글 설명
PraisonAI Platform 0.1.4 미만 버전에서 권한 우회 취약점이 발견되었습니다. 워크스페이스의 일반 멤버가 삭제 권한을 가진 소유자 없이도 워크스페이스 전체를 삭제할 수 있어 프로젝트, 이슈, 에이전트 등 모든 데이터가 영구적으로 손실될 수 있습니다.
💡 쉬운 설명
워크스페이스의 일반 사용자도 관리자 권한 없이 전체 데이터를 한 번에 삭제할 수 있는 보안 결함입니다. 삭제 시 복구가 불가능하므로 데이터가 완전히 사라질 위험이 있습니다.
🇺🇸 원문 (English)
PraisonAI Platform is the platform layer for the PraisonAI multi-agent teams system. Versions prior to 0.1.4 have an authorization bypass enabling destructive action. The `DELETE /workspaces/{workspace_id}` endpoint is gated only by `require_workspace_member(workspace_id)` (default `min_role="member"`). Any member of the workspace can issue a single DELETE to wipe the entire workspace, including every project, issue, comment, agent, label, and member record (cascading via the foreign-key relationships). There is no owner-role gate, no confirmation token, no soft-delete window, no recovery path. PraisonAI Platform version 0.1.4 patches the issue.
📍 영향받는 시스템
PraisonAI Platform versions prior to 0.1.4
⚔️ 공격 벡터
워크스페이스 멤버 권한을 가진 사용자가 DELETE /workspaces/{workspace_id} 엔드포인트에 요청을 전송하여 공격
🛡️ 대응 방법
PraisonAI Platform을 최신 버전인 0.1.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.1.4 미만인지 확인하십시오.
pip show praisonai-platform | grep Version