무슨 일이 있었나
PraisonAI 4.6.59-4.6.61에서 수정된 대규모 동시 권고 물결은 여러 높은/CVSS 7.2-8.8 결함을 해결했습니다: Discord 및 HTTP 승인 흐름의 인간 승인 우회, 허용 목록 정책을 건너뛰는 Slack app_mention 핸들러, 0.0.0.0 리스너의 선택적 LinearBot 웹훅 비밀, 커널 샌드박스를 약화시키는 SandlockSandbox native() 경로, 컴퓨트 브리징 파일 작업의 셸 명령 주입, 템플릿 로더/캐시 경로 순회, 위험한 도구 정책 우회, 임의 run_id/agent_id/artifact 경로를 존중하는 파일시스템 기반 Dynamic Context 도구, 인증되지 않은 A2U 이벤트 스트리밍, 웹훅 검증 바인딩 공백입니다.
왜 중요한가
이들은 다중 에이전트 배포의 오케스트레이션 계층 실패 모드입니다: 인간 승인이 위조되거나 주입될 수 있고, 봇 웹훅은 누구나 접근할 수 있으며, 샌드박스가 철회될 수 있고, 공격자가 조종한 인수가 파일시스템을 순회하거나 셸 명령을 실행할 수 있습니다. 함께 보면 에이전트 승인 UX와 정책 시행이 경계 제어이며 강화로 신뢰해서는 안 된다는 것을 보여줍니다.
공격 경로
집계: (a) DiscordApproval은 채널의 이후 비봇 메시지가 'yes'로 분류되면 대기 중인 위험한 도구 호출을 승인합니다 (CVE-2026-56832); (b) HTTPApproval은 공격자가 제어한 도구 인수를 승인 대시보드 HTML에 직접 렌더링하여 인간이 여는 승인 페이지에 JavaScript 주입을 발생시킵니다 (CVE-2026-56840); (c) Slack 봇은 메시지 핸들러에서 allowed_users/allowed_channels 정책을 적용하지만 인접한 app_mention 핸들러에서는 적용하지 않습니다 (CVE-2026-56835); (d) LinearBot은 0.0.0.0에서 공개 웹훅 리스너를 시작하고 LINEAR_WEBHOOK_SECRET을 선택적으로 취급하여 서명 검증이 건너뛰어집니다 (CVE-2026-56837); (e) SandlockSandbox native() 경로는 호출자가 허용된 파일시스템/네트워크 경로를 구성할 수 있게 하여 커널 강제 샌드박스를 깨뜨립니다 (CVE-2026-57144); (f) LocalManagedAgent/SandboxedAgent 컴퓨트 브리징은 read_file/list_files/write_file을 raw 포맷팅을 통해 셸 명령 문자열로 변환하여 명령 주입을 발생시킵니다 (CVE-2026-57117); (g) 템플릿 로더는 사용자 제어 GitHub 템플릿 경로/ref를 그대로 저장하고 캐시 계층이 이를 경로에 결합하여 경로 순회를 발생시킵니다 (CVE-2026-57113); (h) 레시피 실행 위험한 도구 정책은 TEMPLATE에 선언된 도구만 검사하며 우회 가능합니다 (CVE-2026-56838 / 57142); (i) Dynamic Context 도구는 도구 호출자로부터 run_id/agent_id를 받아 파일시스템 경로를 구성합니다 (CVE-2026-56833 / 56834); (j) A2U 이벤트 스트림 및 구독 라우트는 인증되지 않은 상태로 남아 있습니다 (CVE-2026-57146); (k) Async Jobs 웹훅 검증은 루프백/개인 대상에 대해 요청에 바인딩되지 않습니다 (CVE-2026-57114); (l) 워크스페이스 구성원은 소유자나 다른 구성원이 생성한 모든 리소스를 영구히 삭제할 수 있습니다 (CVE-2026-57121); (m) 설치된 콘솔 레시피 명령은 더 이상 사용되지 않는 Typer 경로로 디스패치됩니다 (CVE-2026-56836).
영향받는 시스템
PraisonAI (MervinPraison) 3.8.1-4.5.x ~ 4.6.59/4.6.61 미만; praisonai-platform (workplace) 0.1.4 ~ 0.1.5 미만
완화 방안
PraisonAI를 4.6.59-4.6.61(그리고 praisonai-platform을 0.1.5)로 업그레이드하십시오. 각 문제에 대해 해당 GHSA(GHSA-8579-rgg5-ph2m, GHSA-63v4-w882-g4x2, GHSA-qvpf-j64c-jmhr, GHSA-fc26-m9pf-v56q, GHSA-6jcq-6546-qrrw, GHSA-w6h2-fr4q-xvxv, GHSA-f44v-7qgw-9gh9, GHSA-v847-hxxw-3pxg, GHSA-7qw2-w5rc-37x2, GHSA-22cj-m4wf-fv2c, GHSA-j7qx-p75m-wp7g, GHSA-jxcw-qp4h-6jfq, GHSA-rjvw-7vvw-549v, GHSA-rh39-9c67-59mh, GHSA-5qw8-f2g9-ff29)를 참조하십시오. 인증 없이 봇/웹훅/샌드박스 표면을 노출하지 마십시오; 명시적인 allow_dangerous_tools 및 웹훅 비밀을 요구하십시오.