CVE-2026-47417 in praisonai-platform
الملخص
بحسب VulDB • 22/07/2026
تُعد منصة PraisonAI طبقة المنصة لنظام فرق الوكلاء المتعددين الخاص بـ PraisonAI. تحتوي الإصدارات السابقة للإصدار 0.1.4 على ثغرة مرجع الكائن غير الآمن (Insecure Direct Object Reference). تعتمد نقاط نهاية التعليقات (`POST /workspaces/{workspace_id}/issues/{issue_id}/comments` و `GET .../comments`) في فرض الوصول فقط على التحقق من أن المستخدم عضو في مساحة العمل عبر الدالة `require_workspace_member(workspace_id)`، ثم تستدعي `CommentService.create(issue_id=issue_id, ...)` و `CommentService.list_for_issue(issue_id)` دون التحقق مما إذا كان الـ `issue_id` ينتمي إلى الـ `workspace_id`. يمكن للمستخدم الذي هو عضو في أي مساحة عمل `W1` قراءة جميع التعليقات على أي مشكلة (Issue) في أي مساحة عمل أخرى `W2`، بالإضافة إلى نشر تعليقات جديدة فيها. يقوم الإصدار 0.1.4 من منصة PraisonAI بإصلاح هذه الثغرة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.