🇰🇷 한글 설명
PraisonAI의 SSE 서버가 /publish, /events, /info 요청을 처리할 때 ServerConfig.auth_token을 확인하지 않는 취약점이 발견되었습니다. 이로 인해 네트워크를 통해 서버에 접근 가능한 공격자가 임의의 이벤트를 브로드캐스트하거나 서버 설정 및 클라이언트 수 정보를 탈취할 수 있습니다.
💡 쉬운 설명
인증 절차를 거치지 않고도 서버의 정보를 훔쳐보거나 가짜 메시지를 보낼 수 있는 보안 구멍이 있습니다. 이로 인해 서버의 내부 설정이 노출되거나 사용자들에게 잘못된 정보가 전달될 위험이 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. Prior to praisonaiagents 1.6.58, the SSE server in src/praisonai-agents/praisonaiagents/server/server.py does not consult ServerConfig.auth_token before handling /publish, /events, or /info requests. A network client that can reach the server can broadcast arbitrary events to connected clients and obtain server configuration and client-count information. This issue is fixed in praisonaiagents 1.6.58.
📍 영향받는 시스템
PraisonAI (praisonaiagents) 1.6.58 미만 버전
⚔️ 공격 벡터
네트워크를 통해 인증 없이 SSE 서버의 특정 엔드포인트(/publish, /events, /info)에 직접 요청을 보내는 방식
🛡️ 대응 방법
praisonaiagents 버전을 1.6.58 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.6.58보다 낮으면 취약한 상태입니다.
pip show praisonaiagents | grep Version