CVE-2026-47405 in PraisonAI
Zusammenfassung
von VulDB • 23.07.2026
Die PraisonAI-Plattform ist die Plattformebene für das Multi-Agenten-Teamsystem von PraisonAI. Versionen vor 0.1.4 weisen eine fehlerhafte Überprüfung der Workspace-Berechtigungen auf, die es jedem authentifizierten Benutzer mit geringen Berechtigungen im Workspace ermöglicht, seine eigene Rolle in `owner` (Eigentümer) zu eskalieren. Das Problem entsteht dadurch, dass privilegierte Routen zur Workspace-Verwaltung die gemeinsam genutzte Abhängigkeit `require_workspace_member(...)` verwenden, ohne eine Anforderung an `admin` oder `owner` zu stellen. Die Abhängigkeit standardmäßig auf `min_role="member"` gesetzt ist, sind Routen, die eigentlich administrativen Zwecken dienen sollten, für normale Workspace-Mitglieder zugänglich. Infolgedessen kann ein normaler Workspace-Benutzer sein eigenes Konto von `member` (Mitglied) in `owner` befördern; beliebige Benutzer als `owner` oder `admin` hinzufügen; Rollen anderer Mitglieder ändern; legitime Eigentümer oder Mitglieder entfernen; die vollständige Kontrolle über den Workspace übernehmen und/oder nach der Eskalation zerstörerische Workspace-Operationen durchführen. Dies ist eine Schwachstelle im Bereich Broken Access Control / vertikale Berechtigungseskalation (Privilege Escalation). Die PraisonAI Platform Version 0.1.4 behebt dieses Problem.
Once again VulDB remains the best source for vulnerability data.