🇰🇷 한글 설명
PraisonAI 0.1.6 미만 버전에서 JWT_SECRET 설정이 누락될 경우 기본값인 'dev-secret-change-me'가 사용되는 취약점입니다. 공격자는 이를 이용해 임의의 사용자 정보를 담은 위조된 JWT 토큰을 생성하여 인증을 우회할 수 있습니다.
💡 쉬운 설명
시스템의 비밀번호 역할을 하는 암호 키가 너무 쉬운 기본값으로 설정되어 있어 발생하는 문제입니다. 이를 통해 해커가 가짜 신분증을 만들어 관리자 권한으로 시스템에 접속할 수 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. Prior to 0.1.6, praisonai_platform/services/auth_service.py assigns the public dev-secret-change-me value to JWT_SECRET when PLATFORM_JWT_SECRET is unset, and its production guard does not run when PLATFORM_ENV is also unset because that setting defaults to dev. A remote unauthenticated attacker can mint an HS256 token with an arbitrary sub and email, and the platform's AuthService._verify_token() and get_current_user dependency accept the forged identity for protected API routes. This vulnerability is fixed in praisonai-platform 0.1.6.
📍 영향받는 시스템
PraisonAI (praisonai-platform) 0.1.6 미만 버전
⚔️ 공격 벡터
원격에서 인증되지 않은 공격자가 기본 JWT 비밀키를 사용하여 위조된 HS256 토큰을 생성 및 전송
🛡️ 대응 방법
praisonai-platform을 0.1.6 이상 버전으로 업데이트하거나 PLATFORM_JWT_SECRET 환경 변수를 반드시 설정하십시오.
🔧 검증 코드
출력된 버전 번호가 0.1.6보다 낮으면 취약한 상태입니다.
pip show praisonai-platform | grep Version