🇰🇷 한글 설명
PraisonAI 4.6.58 이전 버전에서 인증 미들웨어의 로직 결함으로 인해 인증이 제대로 검증되지 않는 취약점이 발견되었습니다. API 키나 JWT 인증이 설정되어 있더라도 특정 조건에서 인증 없이 POST /v1/recipes/run 요청을 처리할 수 있습니다.
💡 쉬운 설명
로그인이나 비밀번호 확인 과정을 거쳐야 하는데, 시스템 오류로 인해 아무런 인증 없이도 중요한 명령을 내릴 수 있는 상태입니다. 이로 인해 공격자가 허가받지 않은 작업을 실행할 위험이 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. Prior to praisonai 4.6.58, create_auth_middleware() allows requests when auth=api-key lacks PRAISONAI_API_KEY or JWT authentication lacks PRAISONAI_JWT_SECRET. An externally bound Recipe server can therefore accept unauthenticated POST /v1/recipes/run requests despite authentication being enabled. This issue is fixed in version 4.6.58.
📍 영향받는 시스템
PraisonAI 4.6.58 미만 버전
⚔️ 공격 벡터
외부로 노출된 Recipe 서버에 인증 정보 없이 POST /v1/recipes/run 요청을 전송
🛡️ 대응 방법
PraisonAI를 최신 버전인 4.6.58 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 4.6.58보다 낮은지 확인
pip show praisonai | grep Version