🇰🇷 한글 설명
PraisonAI의 특정 버전에서 API 키 설정은 파싱되지만, 실제 에이전트 생성 및 실행 API 호출 시 인증 과정이 누락되는 취약점이 발견되었습니다. 이로 인해 유효하지 않거나 누락된 인증 정보로도 에이전트 실행에 접근할 수 있습니다.
💡 쉬운 설명
PraisonAI 시스템에서 보안 열쇠(API 키)를 확인하는 절차가 제대로 작동하지 않아, 누구나 허가 없이 에이전트를 조작할 수 있는 상태입니다. 인증 없이도 시스템의 핵심 기능을 실행할 수 있어 위험합니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. Prior to praisonai 4.6.51, praisonai serve agents parses config["api_key"] but _create_agents_app() does not authenticate POST /agents or POST /agents/{agent_name}. Missing or incorrect bearer and X-API-Key values still reach agent execution. This issue is fixed in version 4.6.58.
📍 영향받는 시스템
PraisonAI version 4.6.51 미만 버전
⚔️ 공격 벡터
인증 토큰(Bearer 또는 X-API-Key) 없이 POST /agents 또는 POST /agents/{agent_name} 엔드포인트로 직접 요청을 보내 에이전트 실행
🛡️ 대응 방법
PraisonAI를 최신 보안 패치가 적용된 버전 4.6.58 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.6.58보다 낮으면 취약한 상태입니다.
pip show praisonai | grep Version