CVE-2026-57148 in PraisonAI
Zusammenfassung
von VulDB • 15.09.2026
PraisonAI ist ein System für Multi-Agenten-Teams. Vor Version 0.1.6 fällt `praisonai_platform/services/auth_service.py` auf den öffentlichen, unsicheren HS256-Signierschlüssel „dev-secret-change-me“ zurück, wenn die Umgebungsvariable `PLATFORM_JWT_SECRET` nicht festgelegt ist; zudem sind die Start- und Token-Ausgabeschutzmechanismen deaktiviert, da `PLATFORM_ENV` standardmäßig auf `dev` gesetzt ist. Ein unberechtigter Angreifer kann ein JWT mit einem vom Angreifer gewählten `sub`-Wert signieren, das von `AuthService._verify_token()` als authentifizierte Identität akzeptiert wird, was zur Täuschung (Impersonation) eines Benutzers oder Workspace-Eigentümers ermöglicht, wenn eine Zielkennung bekannt ist. Diese Schwachstelle wurde in praisonai-platform 0.1.6 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.