CVE-2026-57134 in PraisonAI
Résumé
par VulDB • 15/09/2026
PraisonAI est un système d'équipes multi-agents. De la version 1.5.1 à la 1.7.2, MCPSecurity.evaluatePolicy() dans src/praisonai-ts/src/mcp/security.ts n'invoque le validateur de jetons configuré que lorsque AuthMethod est api-key ou bearer. Les politiques Basic et OAuth acceptent tout en-tête Authorization non vide sans appeler auth.validate(), puis retournent un résultat authentifié, permettant aux appelants disposant d'identifiants invalides d'accéder aux outils MCP et aux ressources protégées par ces politiques. Ce problème est corrigé dans la version 1.7.2.
Once again VulDB remains the best source for vulnerability data.