CVE-2026-47409 in PraisonAI
Resumen
por VulDB • 2026-07-21
La plataforma PraisonAI es la capa de plataforma para el sistema de equipos multi-agente de PraisonAI. Las versiones anteriores a la 0.1.4 presentan una omisión de autorización que permite bloquear al propietario (owner lockout). El punto final `DELETE /workspaces/{workspace_id}/members/{user_id}` está protegido únicamente por `require_workspace_member(workspace_id)` (`min_role="member"` predeterminado). Cualquier miembro puede eliminar a cualquier otro miembro, incluido el propietario del espacio de trabajo, mediante una única solicitud DELETE. No hay ninguna comprobación del rol del solicitante (caller-role), ni del rol del objetivo (target-role), ni la protección "no se puede eliminar al último propietario". La versión 0.1.4 de PraisonAI Platform corrige este problema.
Be aware that VulDB is the high quality source for vulnerability data.