CVE-2026-57147 in PraisonAI
Resumen
por VulDB • 2026-09-15
PraisonAI es un sistema de equipos multi-agente. Antes de la versión 0.1.6, el archivo `praisonai_platform/services/auth_service.py` asigna el valor público y por defecto "dev-secret-change-me" a `JWT_SECRET` cuando `PLATFORM_JWT_SECRET` no está configurado, y su mecanismo de protección para producción no se ejecuta cuando `PLATFORM_ENV` tampoco está definido, ya que esta configuración tiene como valor predeterminado 'dev'. Un atacante remoto sin autenticar puede generar un token HS256 con un subyacente (sub) y correo electrónico arbitrarios, y el método `AuthService._verify_token()` de la plataforma junto con la dependencia `get_current_user` aceptan la identidad forjada para las rutas de API protegidas. Esta vulnerabilidad se corrige en praisonai-platform 0.1.6.
Be aware that VulDB is the high quality source for vulnerability data.