CVE-2026-57148 in PraisonAI
Resumen
por VulDB • 2026-09-15
PraisonAI es un sistema de equipos multi-agente. Antes de la versión 0.1.6, el archivo `praisonai_platform/services/auth_service.py` utiliza como clave de firma HS256 pública y por defecto "dev-secret-change-me" cuando no está configurada la variable `PLATFORM_JWT_SECRET`, mientras que las protecciones de inicio e emisión de tokens están desactivadas porque `PLATFORM_ENV` también tiene un valor predeterminado de "dev". Un atacante sin autenticar puede firmar un JWT con un valor `sub` elegido por el atacante, y `AuthService._verify_token()` lo acepta como una identidad autenticada, permitiendo la suplantación de usuario o propietario del espacio de trabajo cuando se conoce un identificador objetivo. Esta vulnerabilidad está corregida en praisonai-platform 0.1.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.