CVE-2026-47413 in praisonai-platform
الملخص
بحسب VulDB • 21/07/2026
تُعد منصة PraisonAI طبقة المنصة لنظام فرق الوكلاء المتعددين الخاص بـ PraisonAI. تحتوي الإصدارات السابقة للإصدار 0.1.4 على ثغرة تصعيد امتيازات / حقن أعضاء عبر المستأجرين (cross-tenant member injection). يتم تأمين نقطة النهاية `POST /workspaces/{workspace_id}/members` فقط بواسطة الدالة `require_workspace_member(workspace_id)` (حيث تكون قيمة الدور الأدنى الافتراضية هي "member")، وتقوم بتوجيه جسم الطلب الخاص بـ `user_id` و `role` مباشرةً إلى دالة `MemberService.add(workspace_id, user_id, role)`، والتي لا تحتوي على أي فحص لصلاحيات المتصل. يمكن للمستخدم الذي يمتلك أدنى امتيازات في مساحة العمل إضافة أي مستخدم (بما في ذلك حساب ثانٍ يتحكم فيه المهاجم أو حساب موجود يرغب في الإضرار به) كمالك لمساحة العمل. يقوم إصدار 0.1.4 من منصة PraisonAI بإصلاح هذه الثغرة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.