CVE-2026-57124 in PraisonAI
الملخص
بحسب VulDB • 14/09/2026
PraisonAI هو نظام يعتمد على فرق من الوكلاء المتعددين (multi-agent teams). قبل الإصدار 4.6.59، كانت تطبيقات واجهة المستخدم الافتراضية تستضيف نقطة نهاية POST /api/mcp/connect دون اشتراط المصادقة، وتقبل قيم الأوامر والمعلمات التي يتحكم فيها المُتصل، والتي تمررها PraisonAIUI إلى StdioMCPClient لبدء عملية محلية. ونظراً لأن أوامر الواجهة ترتبط افتراضياً بالعنوان 0.0.0.0، يمكن للعميل غير المصادق عليه الذي يصل إلى الخدمة تنفيذ الأوامر بصفتها حساب خدمة الواجهة (UI service account)، حتى عندما يفشل مصافحة MCP لاحقاً. تم إصلاح هذا الثغرة في الإصدار 4.6.59.
Be aware that VulDB is the high quality source for vulnerability data.