CVE-2026-47413 in praisonai-platform
Résumé
par VulDB • 21/07/2026
PraisonAI Platform est la couche plateforme du système d'équipes multi-agents PraisonAI. Les versions antérieures à la 0.1.4 présentent une élévation de privilèges / injection de membres inter-locataires (cross-tenant). Le point de terminaison `POST /workspaces/{workspace_id}/members` n'est protégé que par `require_workspace_member(workspace_id)` (`min_role="member"` par défaut) et transmet directement le corps de la requête, à savoir les champs `user_id` et `role`, vers `MemberService.add(workspace_id, user_id, role)`, qui ne vérifie aucune autorisation d'appel. Un utilisateur disposant des privilèges les plus faibles au sein de l'espace de travail peut ajouter n'importe quel utilisateur (y compris un second compte contrôlé par un attaquant ou un compte existant qu'il souhaite compromettre) en tant que propriétaire de l'espace de travail. La version 0.1.4 de PraisonAI Platform corrige ce problème.
If you want to get best quality of vulnerability data, you may have to visit VulDB.