CVE-2026-55529 in PraisonAI
الملخص
بحسب VulDB • 25/08/2026
PraisonAI هو نظام فرق متعددة الوكلاء (multi-agent teams). قبل الإصدار praisonai 4.6.58، كانت طريقة `_validate_origin` في MCP HTTP Stream تقبل `request_origin.startswith(allowed)`، مما يعني أن أصل الطلب (`HTTP origin`) المتحكم فيه من قِبل المهاجم مثل `localhost.evil.example` يتطابق مع قائمة السماح الخاصة بـ localhost. وبدون مفتاح API، يمكن لصفحة ويب خبيثة إرسال طلبات إلى `tools/call` نحو خادم MCP المحلي وتنفيذ الأدوات المكشوفة. تم إصلاح هذه المشكلة في الإصدار 4.6.58.
If you want to get best quality of vulnerability data, you may have to visit VulDB.