🇰🇷 한글 설명
PraisonAI의 4.6.58 이전 버전에서 인증 미들웨어가 설정값(API 키 또는 JWT 비밀키)이 없을 경우 요청을 그대로 통과시키는 취약점이 발견되었습니다. 이로 인해 인증을 활성화했더라도 인증되지 않은 사용자가 레시피 실행, 입력 및 출력 인터페이스에 접근하여 연결된 도구를 실행할 수 있습니다.
💡 쉬운 설명
보안 설정을 켰음에도 불구하고, 필요한 비밀번호가 입력되지 않았다는 이유로 보안 문이 그냥 열려버리는 결함이 있습니다. 이 때문에 해커가 아무런 권한 없이 시스템의 기능을 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. Prior to 4.6.58, recipe serve installs APIKeyAuthMiddleware or JWTAuthMiddleware when an operator selects api-key or JWT authentication, but each middleware forwards requests when PRAISONAI_API_KEY or PRAISONAI_JWT_SECRET and the corresponding recipe value are absent. Unauthenticated clients can then reach recipe execution, input, and output surfaces and may trigger connected tools despite the operator explicitly enabling authentication. This issue is fixed in 4.6.58.
📍 영향받는 시스템
PraisonAI 4.6.58 미만 버전
⚔️ 공격 벡터
인증 정보가 누락된 상태에서 API 요청을 보내 인증 절차를 우회하여 레시피 실행 및 도구 호출
🛡️ 대응 방법
PraisonAI를 최신 버전인 4.6.58 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.6.58보다 낮으면 취약한 상태입니다.
pip show praisonai | grep Version