CVE-2026-56835 in PraisonAI
Résumé
par VulDB • 23/10/2026
PraisonAI est un système d'équipes multi-agents. À partir de la version 3.11.0 jusqu'à avant la version 4.6.59, le bot Slack de PraisonAI applique sa politique configurée pour allowed_users (utilisateurs autorisés), allowed_channels (canaux autorisés) et unknown-user pairing policy dans le gestionnaire d'événements normal des messages Slack, mais pas dans le gestionnaire d'événements adjacent app_mention. Un utilisateur d'un espace de travail Slack qui peut mentionner le bot dans un canal où l'application Slack est présente peut déclencher l'agent PraisonAI configuré même lorsque : l'expéditeur ne figure pas dans BotConfig.allowed_users ; le canal n'est pas inclus dans BotConfig.allowed_channels ; unknown_user_policy="deny" (rejeter les utilisateurs inconnus) est configuré ; et le contenu de cet événement est correctement ignoré par le gestionnaire de messages normal. Ce problème a été corrigé dans la version 4.6.59.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.