🇰🇷 한글 설명
PraisonAI의 특정 버전에서 API 키를 입력하더라도 실제 에이전트 생성 및 호출 API(/agents, /agents/{agent_name})에 대한 인증이 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 네트워크를 통한 공격자가 인증 없이 설정된 에이전트를 임의로 호출할 수 있습니다. 해당 문제는 4.6.58 버전에서 수정되었습니다.
💡 쉬운 설명
비밀번호(API 키)를 설정해 두었음에도 불구하고, 실제로는 비밀번호 없이도 시스템의 기능을 마음대로 사용할 수 있는 보안 구멍이 발견되었습니다. 해커가 인증 절차를 건너뛰고 인공지능 에이전트를 조작할 위험이 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. From praisonai 4.6.34 until 4.6.58, praisonai serve agents accepts --api-key but _create_agents_app() does not authenticate POST /agents or POST /agents/{agent_name}. A network caller can invoke configured agents without credentials even when an API key was supplied. This issue is fixed in version 4.6.58.
📍 영향받는 시스템
PraisonAI 4.6.34 ~ 4.6.58 버전
⚔️ 공격 벡터
인증이 누락된 API 엔드포인트(POST /agents 등)에 네트워크를 통해 직접 요청을 보내 에이전트를 호출함
🛡️ 대응 방법
PraisonAI를 최신 버전인 4.6.58 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 4.6.58 미만(4.6.34~4.6.57)이면 취약한 상태입니다.
pip show praisonai | grep Version