🇰🇷 한글 설명
SuperAGI v0.0.14 이하 버전에는 부적절한 접근 제어 취약점이 존재합니다. 에이전트 컨트롤러 엔드포인트 /api/agents/get/project/{project_id}는 인증된 사용자가 자신의 조직에 속하지 않은 프로젝트의 전체 에이전트 목록을 조회할 수 있도록 허용하며, project_id가 사용자의 조직에 속하는지 검증하지 않습니다.
💡 쉬운 설명
로그인한 사용자가 다른 회사의 프로젝트 ID만 알면 그 프로젝트에 속한 AI 에이전트 목록을 볼 수 있습니다. 기밀 정보가 외부 조직에 노출될 수 있습니다.
🇺🇸 원문 (English)
SuperAGI up to v0.0.14 contains an improper access control vulnerability. The agent controller endpoint /api/agents/get/project/{project_id} allows authenticated users from one organization to retrieve the complete list of agents belonging to a different organization's project. The endpoint accepts a project_id parameter but does not verify that the project belongs to the authenticated user's organization.
📍 영향받는 시스템
SuperAGI v0.0.14 이하
⚔️ 공격 벡터
인증된 계정으로 다른 조직의 project_id를 넣어 /api/agents/get/project/{project_id}에 요청
🛡️ 대응 방법
SuperAGI를 취약점 수정 버전으로 업데이트하고, 프로젝트 접근 시 요청 사용자의 조직 소속 여부를 서버에서 검증
🔧 검증 코드
출력된 Version 값이 0.0.14 이하이면 취약하며, 그보다 높은 버전이면 패치된 것으로 판단합니다.
pip show superagi 2>/dev/null | grep -i version
💻 영향받는 소프트웨어
IBM Security Verify Access