🇰🇷 한글 설명
PraisonAI 4.6.62 미만 버전에서 PRAISONAI_CALL_AUTH 설정을 'disabled'로 지정할 경우, 인증 토큰 없이도 에이전트 호출 API(/api/v1/agents/{id}/invoke)를 사용할 수 있는 취약점이 존재합니다. 이로 인해 등록된 에이전트와 연결된 도구 또는 개인 컨텍스트가 인증되지 않은 사용자에게 노출될 수 있습니다.
💡 쉬운 설명
보안 설정을 끄면 누구나 허락 없이 AI 에이전트를 실행하고 내부 정보를 훔쳐볼 수 있는 문제입니다. 설정 실수로 인해 중요한 데이터나 도구가 외부로 노출될 위험이 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. Prior to 4.6.62, setting PRAISONAI_CALL_AUTH to disabled makes verify_token accept requests to /api/v1/agents/{id}/invoke without CALL_SERVER_TOKEN authentication. Deployments that use the application's advertised opt-out can expose registered agents and their connected tools or private context to unauthenticated invocation. The vulnerability is fixed in 4.6.62.
📍 영향받는 시스템
PraisonAI 4.6.62 미만 버전
⚔️ 공격 벡터
인증 토큰 없이 API 엔드포인트에 직접 요청을 보내 에이전트 호출 및 데이터 탈취
🛡️ 대응 방법
PraisonAI를 최신 버전인 4.6.62 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.6.62보다 낮으면 취약한 상태입니다.
pip show praisonai | grep Version