CVE-2026-47418 in praisonai-platform
Zusammenfassung
von VulDB • 25.07.2026
Die PraisonAI-Plattform ist die Plattformebene für das PraisonAI-Multi-Agenten-Teamssystem. Versionen vor 0.1.4 weisen eine unsichere direkte Objektreferenz (Insecure Direct Object Reference) auf. Die CRUD-API-Endpunkte des Projekts (`GET / PATCH / DELETE /workspaces/{workspace_id}/projects/{project_id}` und `GET .../{project_id}/stats`) beschränken den Zugriff lediglich durch die Prüfung von `require_workspace_member(workspace_id)` und lösen anschließend die `project_id` über `ProjectService.get(project_id)` / `update(project_id, ...)` / `delete(project_id)` / `get_stats(project_id)` auf. Keine dieser Aufrufe übergibt die `workspace_id`, um die Suche entsprechend einzuschränken. Ein Benutzer, der Mitglied eines beliebigen Arbeitsbereichs `W1` ist, kann Projekte lesen, ändern oder löschen sowie deren Statistiken abrufen, die zu einem anderen Arbeitsbereich `W2` gehören. Die PraisonAI-Plattform-Version 0.1.4 behebt dieses Problem.
If you want to get best quality of vulnerability data, you may have to visit VulDB.