🇰🇷 한글 설명
PraisonAI 4.6.58 미만 버전에서 /api/v1/runs 경로에 인증 및 권한 검증이 누락된 취약점이 발견되었습니다. 공격자는 인증 없이 프롬프트와 에이전트 설정을 제출하거나 다른 사용자의 작업을 조회, 실행, 삭제할 수 있으며 서비스 자격 증명과 도구 권한을 탈취할 수 있습니다.
💡 쉬운 설명
PraisonAI 시스템의 특정 경로에 자물쇠가 걸려 있지 않아 누구나 접근할 수 있는 상태입니다. 이를 통해 해커가 다른 사람의 작업을 훔쳐보거나 마음대로 조작하고 중요한 정보를 빼낼 수 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. Prior to 4.6.58, praisonai.jobs.server.create_app mounts praisonai.jobs.router.create_router under /api/v1/runs without authentication or per-job authorization. Network clients can submit attacker-controlled prompts and agent configuration, list and read jobs, stream results, and cancel or delete other jobs, exposing service credentials and connected tool capabilities to unauthorized agent execution. This vulnerability is fixed in 4.6.58.
📍 영향받는 시스템
PraisonAI versions prior to 4.6.58
⚔️ 공격 벡터
인증 없이 /api/v1/runs API 엔드포인트에 직접 접근하여 악성 프롬프트 및 설정 전송
🛡️ 대응 방법
PraisonAI를 최신 버전인 4.6.58 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.6.58보다 낮은지 확인하십시오.
pip show praisonai | grep Version