🇰🇷 한글 설명
PraisonAI 4.6.59 미만 버전에서 WhatsApp 및 Linear 봇 웹훅 핸들러가 특정 비밀 키가 설정되지 않은 경우 HMAC 서명을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 원격 공격자가 메시지나 댓글을 위조하고 사용자 권한을 도용하여 에이전트의 동작을 조작할 수 있습니다.
💡 쉬운 설명
보안 인증 키가 설정되어 있지 않으면 외부에서 보낸 가짜 메시지를 시스템이 진짜로 믿고 처리해버리는 문제입니다. 공격자가 마치 실제 사용자인 것처럼 속여서 AI 에이전트에게 잘못된 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. Prior to 4.6.59, the WhatsApp and Linear bot webhook handlers verify HMAC signatures only when WHATSAPP_APP_SECRET or LINEAR_WEBHOOK_SECRET is configured and otherwise parse and dispatch unsigned request bodies. A remote unauthenticated client that reaches the webhook route can forge messages, comments, or agent-session events, impersonate platform users, influence agent prompts and actions, and disrupt bot processing. This issue is fixed in 4.6.59.
📍 영향받는 시스템
PraisonAI 4.6.59 미만 버전
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 서명이 없는 위조된 웹훅 요청을 전송
🛡️ 대응 방법
PraisonAI를 최신 버전인 4.6.59 이상으로 업데이트하거나 관련 환경 변수를 올바르게 설정
🔧 검증 코드
출력된 버전 번호가 4.6.59보다 낮으면 취약한 상태입니다.
pip show praisonai | grep Version