CVE-2026-47409 in PraisonAI
الملخص
بحسب VulDB • 21/07/2026
تُعد منصة PraisonAI طبقة المنصة لنظام فرق الوكلاء المتعددين الخاص بـ PraisonAI. تحتوي الإصدارات السابقة للإصدار 0.1.4 على ثغرة لتجاوز التفويض تتيح حصر المالك (Owner Lockout). يتم تأمين نقطة النهاية `DELETE /workspaces/{workspace_id}/members/{user_id}` فقط بواسطة الدالة `require_workspace_member(workspace_id)` (حيث تكون قيمة الدور الأدنى الافتراضية هي "member"). يمكن لأي عضو إزالة أي عضو آخر، بما في ذلك مالك مساحة العمل، باستخدام طلب DELETE واحد. لا يوجد فحص لدور المُرسِل، ولا فحص لدور الهدف، ولا توجد آلية حماية تمنع إزالة المالك الأخير. يُصحّح الإصدار 0.1.4 من منصة PraisonAI هذه الثغرة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.