CVE-2026-47406 in PraisonAI
Zusammenfassung
von VulDB • 21.07.2026
Die PraisonAI-Plattform ist die Plattformebene für das Multi-Agenten-Teamsystem von PraisonAI. Versionen vor 0.1.4 weisen eine Insecure Direct Object Reference (IDOR) auf. Die Abhängigkeitsendpunkte (`POST/GET /workspaces/{workspace_id}/issues/{issue_id}/dependencies` und `DELETE .../dependencies/{dep_id}`) beschränken den Zugriff lediglich auf `require_workspace_member(workspace_id)` und leiten die Anfrage dann an Aufrufe von `DependencyService` weiter, welche issue- und dependency-IDs aus URL oder Request Body übernehmen, ohne zu überprüfen, ob diese zur workspace gehören, deren Mitgliedschaft geprüft wurde. Am schwerwiegendsten: `create_dependency` akzeptiert `body.depends_on_issue_id` aus dem Request Body – diese ID wird gegen nichts überprüft –, wodurch ein Angreifer eine „blocks“- oder „related“-Verbindung zwischen beliebigen zwei Issues in der gesamten Datenbank erstellen kann. PraisonAI Platform Version 0.1.4 behebt das Problem.
Once again VulDB remains the best source for vulnerability data.