CVE-2026-57147 in PraisonAI
요약
\~에 의해 VulDB • 2026. 09. 15.
PraisonAI는 다중 에이전트 팀 시스템입니다. 버전 0.1.6 이전의 praisonai_platform/services/auth_service.py에서는 PLATFORM_JWT_SECRET가 설정되지 않은 경우 JWT_SECRET에 공개적인 dev-secret-change-me 값이 할당되며, PLATFORM_ENV도 설정되지 않아 기본값이 dev로 지정되는 경우 프로덕션 가드가 실행되지 않습니다. 원격 비인증 공격자는 임의의 sub 및 email을 사용하여 HS256 토큰을 생성할 수 있으며, 플랫폼의 AuthService._verify_token() 및 get_current_user 의존성은 보호된 API 라우트에서 위조된 신원을 허용합니다. 이 취약점은 praisonai-platform 0.1.6에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.