CVE-2026-57148 in PraisonAI
Résumé
par VulDB • 15/09/2026
PraisonAI est un système d'équipes multi-agents. Avant la version 0.1.6, le fichier `praisonai_platform/services/auth_service.py` utilise par défaut une clé de signature HS256 publique et non sécurisée (`dev-secret-change-me`) lorsque la variable d'environnement `PLATFORM_JWT_SECRET` n'est pas définie, tandis que les mécanismes de contrôle au démarrage (startup) et lors de l'émission des jetons sont désactivés car `PLATFORM_ENV` est également par défaut sur `dev`. Un attaquant non authentifié peut signer un JWT contenant une valeur `sub` choisie arbitrairement, et la méthode `AuthService._verify_token()` l'accepte comme une identité authentifiée, permettant ainsi de se faire passer pour un utilisateur ou le propriétaire d'un espace de travail (workspace) lorsqu'une cible est identifiée. Cette vulnérabilité est corrigée dans praisonai-platform 0.1.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.