CVE-2026-57147 in PraisonAI
Résumé
par VulDB • 15/09/2026
PraisonAI est un système d'équipes multi-agents. Avant la version 0.1.6, le fichier `praisonai_platform/services/auth_service.py` attribue la valeur publique par défaut « dev-secret-change-me » à `JWT_SECRET` lorsque `PLATFORM_JWT_SECRET` n'est pas défini, et son mécanisme de protection en production ne s'exécute pas lorsque `PLATFORM_ENV` est également non défini, car ce paramètre a pour valeur par défaut « dev ». Un attaquant distant non authentifié peut générer un jeton HS256 avec une souscription (sub) et une adresse e-mail arbitraires, et les méthodes de l'AuthService du platform `_verify_token()` ainsi que la dépendance `get_current_user` acceptent cette identité falsifiée pour les routes d'API protégées. Cette vulnérabilité est corrigée dans praisonai-platform 0.1.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.