🇰🇷 한글 설명
PraisonAI의 AgentServer에서 인증 토큰 설정이 존재함에도 불구하고, _create_app 메서드가 모든 경로에서 이를 검증하지 않는 취약점이 발견되었습니다. 이로 인해 공격자는 유효한 토큰 없이도 원격에서 구독, 발행 및 기타 작업을 수행할 수 있습니다. 이 문제는 버전 1.6.58에서 수정되었습니다.
💡 쉬운 설명
보안 인증 장치가 설정되어 있음에도 불구하고, 실제로는 문이 잠기지 않아 누구나 들어올 수 있는 상태입니다. 해커가 인증 없이 시스템에 접속하여 데이터를 주고받거나 조작할 수 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. Prior to praisonaiagents 1.6.58, AgentServer exposes ServerConfig.auth_token but AgentServer._create_app does not check it on any route. A remote caller can subscribe, publish, and perform other actions without a valid bearer token or X-Auth-Token even when authentication is configured. This issue is fixed in version 1.6.58.
📍 영향받는 시스템
PraisonAI (praisonaiagents) 1.6.58 미만 버전
⚔️ 공격 벡터
인증 토큰 없이 원격에서 AgentServer의 API 경로에 직접 요청을 보내는 방식
🛡️ 대응 방법
PraisonAI를 최신 버전인 1.6.58 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.6.58보다 낮으면 취약한 상태입니다.
pip show praisonaiagents | grep Version