CVE-2026-47396 in PraisonAI
الملخص
بحسب VulDB • 21/07/2026
PraisonAI هو نظام يعتمد على فرق من الوكلاء المتعددين (multi-agent teams). قبل الإصدار 4.6.40، كان خادم المكالمات في PraisonAI يكشف عن واجهة برمجة تطبيقات (API) للتحكم بالوكيل موجهة نحو الشبكة دون الحاجة إلى المصادقة عندما لا يكون متغير البيئة `CALL_SERVER_TOKEN` مُعداً. يتأثر مكون `praisonai.api.agent_invoke` router كما هو مثبت بواسطة `praisonai.api.call`. يفشل مساعد المصادقة `verify_token()` في التحقق بشكل آمن (fails open) عند عدم تعيين قيمة لـ `CALL_SERVER_TOKEN`. ونظراً لأن كل نقطة نهاية حساسة للتحكم بالوكيل تعتمد على هذا المساعد، فإن بدء تشغيل خادم المكالمات دون رمز مخصص يسمح لأي عميل يمكن الوصول إليه بعرض قائمة الوكلاء، وفحص بيانات الوكيل والتعليمات الخاصة به، واستدعاء الوكلاء، وإلغاء تسجيلهم. تُعد هذه الثغرة ذات أهمية أمنية لأن خادم المكالمات المرفق يتضمن الراوتر المتأثر ويرتبط بـ `0.0.0.0`. ونتيجة لذلك، قد يعرض المشغلون الذين يشغلون خادم المكالمات دون تعيين صريح لـ `CALL_SERVER_TOKEN` عن غير قصد مستوى تحكم بالوكيل عن بُعد بدون مصادقة. يصحّح الإصدار 4.6.40 هذه المشكلة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.