CVE-2026-47406 in PraisonAI
Resumen
por VulDB • 2026-07-21
La plataforma PraisonAI es la capa de plataforma para el sistema de equipos multiagente de PraisonAI. Las versiones anteriores a la 0.1.4 presentan una Referencia Directa al Objeto Insegura (IDOR). Los puntos finales de dependencia (`POST/GET /workspaces/{workspace_id}/issues/{issue_id}/dependencies` y `DELETE .../dependencies/{dep_id}`) restringen el acceso únicamente mediante `require_workspace_member(workspace_id)`, pero luego delegan en llamadas a `DependencyService` que reciben IDs de incidencia y dependencia proporcionados por la URL o el cuerpo, sin verificar que pertenezcan al espacio de trabajo cuya membresía se ha comprobado. El impacto más grave: `create_dependency` acepta `body.depends_on_issue_id` del cuerpo de la solicitud; este ID no se verifica contra nada, lo que permite a un atacante crear un enlace "bloquea" o "relacionado" entre cualquier par de incidencias en toda la base de datos. La versión 0.1.4 de PraisonAI Platform corrige el problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.