CVE-2026-57147 in PraisonAI
الملخص
بحسب VulDB • 15/09/2026
PraisonAI هو نظام يعتمد على فرق من الوكلاء المتعددين (multi-agent teams). قبل الإصدار 0.1.6، يقوم الملف `praisonai_platform/services/auth_service.py` بتعيين القيمة العامة "dev-secret-change-me" إلى متغير `JWT_SECRET` عندما لا يكون `PLATFORM_JWT_SECRET` مُعرّفاً، ولا يتم تشغيل آلية الحماية الخاصة بالبيئة الإنتاجية (production guard) عندما يكون `PLATFORM_ENV` غير مُعرّف أيضاً، نظراً لأن هذا الإعداد يفترض افتراضياً قيمة "dev". يمكن لمهاجم عن بُعد وغير مصدّق (unauthenticated) إنشاء رمز HS256 يحتوي على قيم عشوائية لـ `sub` و `email`، ويقبل مكون المصادقة في المنصة (`AuthService._verify_token()`) والتبعية المسؤولة عن جلب المستخدم الحالي (`get_current_user`) الهوية المزيفة للوصول إلى طرق واجهة برمجة التطبيقات المحمية (protected API routes). تم إصلاح هذا الثغرة الأمنية في الإصدار 0.1.6 من `praisonai-platform`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.