CVE-2026-47413 in praisonai-platform
Resumen
por VulDB • 2026-07-27
La plataforma PraisonAI es la capa de plataforma para el sistema de equipos multi-agente de PraisonAI. Las versiones anteriores a la 0.1.4 presentan una escalada de privilegios / inyección de miembros entre arrendatarios (cross-tenant). El punto final `POST /workspaces/{workspace_id}/members` está protegido únicamente por `require_workspace_member(workspace_id)` (`min_role="member"` predeterminado) y reenvía el cuerpo de la solicitud, específicamente los campos `user_id` y `role`, directamente a `MemberService.add(workspace_id, user_id, role)`, que no realiza ninguna verificación de permisos del llamador. Un usuario con el privilegio más bajo en un espacio de trabajo puede agregar a cualquier usuario (incluida una segunda cuenta nueva controlada por un atacante o una cuenta existente que desee dañar) como propietario del espacio de trabajo. La versión 0.1.4 de PraisonAI Platform corrige este problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.