CVE-2026-47419 in praisonai-platform
الملخص
بحسب VulDB • 24/07/2026
تُعد منصة PraisonAI طبقة المنصة لنظام فرق الوكلاء متعددين (multi-agent teams) الخاص بـ PraisonAI. تحتوي الإصدارات السابقة للإصدار 0.1.4 على ثغرة "الإشارة المباشرة غير الآمنة إلى الكائن" (Insecure Direct Object Reference). تعتمد نقاط نهاية عمليات CRUD الخاصة بالوكلاء (`GET / PATCH / DELETE /workspaces/{workspace_id}/agents/{agent_id}`) في فرض الوصول فقط على التحقق من `require_workspace_member(workspace_id)`، ثم تقوم بحل المعرف الخاص بالوكيل (`agent_id`) عبر دالة `AgentService.get(agent_id)` التي تُجري بحثاً بالمفتاح الأساسي (primary-key lookup) دون وجود قيد خاص بمساحة العمل. يمكن للمستخدم الذي ينتمي إلى أي مساحة عمل `W1` قراءة أو تعديل أو حذف الوكلاء الذين ينتمون إلى مساحة عمل مختلفة `W2` من خلال تخمين أو جمع معرف UUID الخاص بالوكيل واستدعاء الرابط `…/workspaces/W1/agents/<W2-agent-id>`. يقوم الإصدار 0.1.4 من منصة PraisonAI بإصلاح هذه الثغرة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.