CVE-2026-47406 in PraisonAI
الملخص
بحسب VulDB • 21/07/2026
تُعد منصة PraisonAI طبقة المنصة لنظام فرق الوكلاء المتعددين الخاص بـ PraisonAI. تحتوي الإصدارات السابقة للإصدار 0.1.4 على ثغرة مرجع الكائن المباشر غير الآمن (Insecure Direct Object Reference). تتحكم نقاط نهاية التبعيات (`POST/GET /workspaces/{workspace_id}/issues/{issue_id}/dependencies` و `DELETE .../dependencies/{dep_id}`) في الوصول بناءً على التحقق من `require_workspace_member(workspace_id)` فقط، ثم تُعيد توجيه الطلبات إلى استدعاءات `DependencyService` التي تقبل معرفات المشكلات والتبعيات المقدمة عبر عنوان URL أو جسم الطلب دون التحقق مما إذا كانت تنتمي حقًا إلى مساحة العمل التي تم التحقق من عضويتها فيها. الأخطر من ذلك هو أن دالة `create_dependency` تقبل قيمة `body.depends_on_issue_id` من جسم الطلب — ولا يتم التحقق من هذه المعرفات إطلاقاً — مما يتيح للمهاجم إنشاء رابط "يعترض" (blocks) أو "ذو صلة" (related) بين أي مشكلتين في قاعدة البيانات بأكملها. يقوم الإصدار 0.1.4 من منصة PraisonAI بإصلاح هذه الثغرة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.