🇰🇷 한글 설명
PraisonAI Platform 0.1.4 미만 버전에서 부적절한 직접 객체 참조(IDOR) 취약점이 발견되었습니다. 특정 워크스페이스의 멤버가 다른 워크스페이스에 속한 프로젝트의 ID를 사용하여 해당 프로젝트를 조회, 수정, 삭제하거나 통계 정보를 탈취할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 권한이 없는 다른 사람의 프로젝트 정보를 마음대로 보고 수정하거나 삭제할 수 있는 보안 결함입니다. 마치 내 열쇠로 옆집 문을 열 수 있는 것과 같은 위험한 상태입니다.
🇺🇸 원문 (English)
PraisonAI Platform is the platform layer for the PraisonAI multi-agent teams system. Versions prior to 0.1.4 have an Insecure Direct Object Reference. The project CRUD endpoints (`GET / PATCH / DELETE /workspaces/{workspace_id}/projects/{project_id}` and `GET .../{project_id}/stats`) gate access on `require_workspace_member(workspace_id)` only, then resolve `project_id` through `ProjectService.get(project_id)` / `update(project_id, ...)` / `delete(project_id)` / `get_stats(project_id)`. None of these calls thread `workspace_id` through to constrain the lookup. A user who is a member of any workspace `W1` can read, modify, delete, or read stats for projects that belong to a different workspace `W2`. PraisonAI Platform version 0.1.4 patches the issue.
📍 영향받는 시스템
PraisonAI Platform 0.1.4 미만 모든 버전
⚔️ 공격 벡터
공격자가 다른 워크스페이스의 프로젝트 ID를 추측하거나 탈취하여 API 엔드포인트에 직접 요청을 전송함
🛡️ 대응 방법
PraisonAI Platform을 최신 보안 패치가 적용된 0.1.4 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.1.4 미만이면 취약한 상태이며, 0.1.4 이상이면 안전합니다.
pip show praisonai-platform | grep Version