CVE-2026-57124 in PraisonAI
Resumen
por VulDB • 2026-09-14
PraisonAI es un sistema de equipos multi-agente. Antes de la versión 4.6.59, las aplicaciones host de la interfaz de usuario (UI) predeterminadas exponen el endpoint POST /api/mcp/connect sin autenticación obligatoria y aceptan valores de comando y argumentos controlados por el cliente que PraisonAIUI pasa a StdioMCPClient para iniciar un proceso local. Dado que los comandos de la UI se vinculan a 0.0.0.0 de forma predeterminada, un cliente no autenticado accesible puede ejecutar comandos como la cuenta del servicio de UI incluso cuando el handshake MCP falle posteriormente. Esta vulnerabilidad está corregida en la versión 4.6.59.
If you want to get best quality of vulnerability data, you may have to visit VulDB.