PraisonAI — это система мультиагентных команд. До версии praisonai 4.6.58 функция create_auth_middleware() разрешала запросы, когда в auth=api-key отсутствует PRAISONAI_API_KEY или в аутентификации JWT отсутствует PRAISONAI_JWT_SECRET. Таким образом, внешний сервер рецептов может принимать неаутентифицированные запросы POST /v1/recipes/run, несмотря на включенную аутентификацию.
Эта проблема исправлена в версии 4.6.58.
Показать оригинальное описание (EN)
PraisonAI is a multi-agent teams system. Prior to praisonai 4.6.58, create_auth_middleware() allows requests when auth=api-key lacks PRAISONAI_API_KEY or JWT authentication lacks PRAISONAI_JWT_SECRET. An externally bound Recipe server can therefore accept unauthenticated POST /v1/recipes/run requests despite authentication being enabled. This issue is fixed in version 4.6.58.
Характеристики атаки
Последствия
Строка CVSS v3.1