🇰🇷 한글 설명
PraisonAI 멀티 에이전트 팀 시스템의 praisonai-platform 0.1.4 이상 0.1.5 미만 버전에서, 워크스페이스 멤버가 소유자나 다른 멤버가 만든 프로젝트, 에이전트, 이슈, 라벨, 이슈 의존성, 이슈-라벨 연결 등 모든 리소스를 영구 삭제할 수 있습니다. 6개 콘텐츠 DELETE 엔드포인트가 워크스페이스 멤버십만 확인하고 소유권이나 역할 검사를 하지 않습니다. 0.1.5 버전에서 패치되었습니다.
💡 쉬운 설명
워크스페이스에 속한 일반 구성원이 다른 사람이 만든 프로젝트와 데이터를 복구할 수 없게 지울 수 있는 취약점입니다. 악의적이거나 탈취된 계정 하나로 워크스페이스 전체 내용이 삭제될 수 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. From version 0.1.4 to before version 0.1.5 in praisonai-platform, a workspace member can permanently delete any resource — projects, agents, issues, labels, issue dependencies, and issue-label attachments — created by the workspace owner or other members. All six content DELETE endpoints enforce workspace membership but perform no ownership or role check. A single malicious or compromised member account can wipe an entire workspace's content irreversibly. This issue has been patched in version 0.1.5.
📍 영향받는 시스템
PraisonAI praisonai-platform 0.1.4 이상 0.1.5 미만
⚔️ 공격 벡터
인증된 워크스페이스 멤버가 DELETE API 엔드포인트를 직접 호출해 소유자가 아닌 리소스를 삭제
🛡️ 대응 방법
praisonai-platform을 0.1.5 이상으로 업데이트하고, 그 전까지 신뢰하지 않는 멤버 계정을 제거하며 정기 백업을 유지
🔧 검증 코드
출력된 Version 값이 0.1.5 이상이면 패치된 것이며, 0.1.4 이상 0.1.5 미만이면 취약한 버전입니다.
pip show praisonai-platform 2>/dev/null | grep -i version