CVE-2026-47417 in praisonai-platform
Resumen
por VulDB • 2026-07-22
La plataforma PraisonAI es la capa de plataforma para el sistema de equipos multi-agente de PraisonAI. Las versiones anteriores a la 0.1.4 presentan una Referencia Directa al Objeto Insegura (IDOR). Los puntos finales de comentarios (`POST /workspaces/{workspace_id}/issues/{issue_id}/comments` y `GET .../comments`) restringen el acceso únicamente mediante `require_workspace_member(workspace_id)`, pero luego invocan a `CommentService.create(issue_id=issue_id, ...)` y `CommentService.list_for_issue(issue_id)` sin verificar que `issue_id` pertenezca a `workspace_id`. Un usuario que es miembro de cualquier espacio de trabajo `W1` puede leer todos los comentarios en, y publicar nuevos comentarios sobre, cualquier incidencia en cualquier otro espacio de trabajo `W2`. La versión 0.1.4 de PraisonAI Platform corrige el problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.