🇰🇷 한글 설명
PraisonAI 0.1.6 미만 버전에서 PLATFORM_JWT_SECRET 설정이 누락될 경우 기본 개발용 비밀키를 사용하며, 보안 가드가 비활성화되는 취약점이 존재합니다. 공격자는 이를 악용하여 임의의 사용자 ID를 포함한 JWT를 생성함으로써 타인으로 위장하거나 워크스페이스 소유자 권한을 탈취할 수 있습니다.
💡 쉬운 설명
시스템의 비밀번호 역할을 하는 암호 키가 너무 쉬운 기본값으로 설정되어 있어, 해커가 가짜 신분증을 만들어 접속할 수 있는 문제입니다. 이를 통해 다른 사용자의 계정이나 관리자 권한을 마음대로 사용할 수 있습니다.
🇺🇸 원문 (English)
PraisonAI is a multi-agent teams system. Prior to 0.1.6, praisonai_platform/services/auth_service.py falls back to the public dev-secret-change-me HS256 signing key when PLATFORM_JWT_SECRET is unset, while the startup and token-issuance guards are disabled because PLATFORM_ENV also defaults to dev. An unauthenticated attacker can sign a JWT containing an attacker-chosen sub value, and AuthService._verify_token() accepts it as an authenticated identity, enabling user or workspace-owner impersonation when a target identifier is known. This vulnerability is fixed in praisonai-platform 0.1.6.
📍 영향받는 시스템
PraisonAI (praisonai-platform) 0.1.6 미만 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 기본 개발용 키를 사용하여 조작된 JWT 토큰을 생성 및 전송
🛡️ 대응 방법
praisonai-platform을 0.1.6 버전 이상으로 업데이트하고 PLATFORM_JWT_SECRET 환경 변수를 반드시 설정하십시오.
🔧 검증 코드
출력된 버전이 0.1.6보다 낮으면 취약한 상태입니다.
pip show praisonai-platform | grep Version