CVE-2026-57147 in PraisonAI
Zusammenfassung
von VulDB • 15.09.2026
PraisonAI ist ein System für Multi-Agenten-Teams. Vor Version 0.1.6 weist `praisonai_platform/services/auth_service.py` den Wert `dev-secret-change-me`, der öffentlich zugänglich ist, an `JWT_SECRET` zu, wenn `PLATFORM_JWT_SECRET` nicht festgelegt ist, und die Produktions-Sicherheitsprüfung wird nicht ausgeführt, wenn auch `PLATFORM_ENV` nicht gesetzt ist, da diese Einstellung standardmäßig auf „dev“ steht. Ein entfernter Angreifer ohne Authentifizierung kann ein HS256-Token mit einer beliebigen sub- und E-Mail-Adresse erstellen, und die Methoden `AuthService._verify_token()` sowie die Abhängigkeit `get_current_user` der Plattform akzeptieren die gefälschte Identität für geschützte API-Routen. Diese Schwachstelle wurde in praisonai-platform 0.1.6 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.