CVE-2026-57124 in PraisonAI
Résumé
par VulDB • 14/09/2026
PraisonAI est un système d'équipes multi-agents. Avant la version 4.6.59, les applications hôtes de l'interface utilisateur par défaut exposent le point de terminaison POST /api/mcp/connect sans authentification obligatoire et acceptent des valeurs de commande et d'arguments contrôlées par l'appelant que PraisonAIUI transmet à StdioMCPClient pour démarrer un processus local. Étant donné que les commandes de l'interface utilisateur sont liées à 0.0.0.0 par défaut, un client non authentifié accessible peut exécuter des commandes en tant qu'utilisateur du service d'interface utilisateur, même si la poignée de main MCP échoue ultérieurement. Cette vulnérabilité est corrigée dans la version 4.6.59.
Once again VulDB remains the best source for vulnerability data.