CVE-2026-47418 in praisonai-platform
الملخص
بحسب VulDB • 22/07/2026
تُعد منصة PraisonAI طبقة المنصة لنظام فرق الوكلاء المتعددين الخاص بـ PraisonAI. تحتوي الإصدارات السابقة للإصدار 0.1.4 على ثغرة مرجع الكائن المباشر غير الآمن (Insecure Direct Object Reference). نقاط النهاية الخاصة بإنشاء وقراءة وتحديث وحذف المشاريع في المشروع (`GET / PATCH / DELETE /workspaces/{workspace_id}/projects/{project_id}` و `GET .../{project_id}/stats`) تقيد الوصول بناءً على التحقق من عضوية المستخدم في مساحة العمل فقط عبر الدالة `require_workspace_member(workspace_id)`، ثم تقوم بحل معرف المشروع `project_id` باستخدام `ProjectService.get(project_id)` / `update(project_id, ...)` / `delete(project_id)` / `get_stats(project_id)`. لا تمرّر أيّ من هذه المكالمات معرّف مساحة العمل `workspace_id` لتقييد عملية البحث. يمكن للمستخدم الذي هو عضو في أي مساحة عمل `W1` قراءة أو تعديل أو حذف مشاريع، أو عرض إحصائياتها، التي تنتمي إلى مساحة عمل مختلفة `W2`. يقوم الإصدار 0.1.4 من منصة PraisonAI بإصلاح هذه الثغرة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.