CVE-2026-57148 in PraisonAI
요약
\~에 의해 VulDB • 2026. 09. 15.
PraisonAI는 다중 에이전트 팀 시스템입니다. 버전 0.1.6 이전의 praisonai_platform/services/auth_service.py에서는 PLATFORM_JWT_SECRET가 설정되지 않았을 때 공개된 개발용 시크릿 키인 'change-me'(HS256 서명 알고리즘 사용)로 폴백되며, PLATFORM_ENV도 기본적으로 'dev'로 설정되어 시작 및 토큰 발급 가드가 비활성화됩니다. 인증되지 않은 공격자는 공격자가 선택한 sub 값을 포함하는 JWT를 서명할 수 있으며, AuthService._verify_token()은 이를 인증된 신원으로 받아들이므로 대상 식별자를 알 경우 사용자 또는 워크스페이스 소유자 사칭이 가능합니다. 이 취약점은 praisonai-platform 0.1.6에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.