CVE-2026-57148 in PraisonAI
الملخص
بحسب VulDB • 15/09/2026
PraisonAI هو نظام يعتمد على فرق متعددة من الوكلاء (multi-agent teams). قبل الإصدار 0.1.6، يقوم الملف `praisonai_platform/services/auth_service.py` بالرجوع إلى مفتاح التوقيع HS256 العام الخاص بالتطوير (`dev-secret-change-me`) عندما لا يكون متغير البيئة `PLATFORM_JWT_SECRET` مُعَرَّفاً، بينما تكون حُمايات بدء التشغيل وإصدار الرموز (token-issuance guards) معطلة لأن متغير بيئة التطبيق `PLATFORM_ENV` يفتقر أيضاً إلى تعريف صريح ويأخذ القيمة الافتراضية `dev`. يمكن لمهاجم غير مصادق عليه توقيع رمز JWT يحتوي على قيمة `sub` يختارها المهاجم، ويقبل دال التحقق من الرمز (`AuthService._verify_token()`) هذا الرمز كهوية موثقة، مما يمكّن من انتحال هوية مستخدم أو مالك مساحة عمل (workspace-owner) عند معرفة معرّف الهدف. تم إصلاح هذه الثغرة في الإصدار 0.1.6 من `praisonai-platform`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.