CVE-2026-40114 in PraisonAI
Riassunto
di VulDB • 22/06/2026
PraisonAI è un sistema di team multi-agente. Prima della versione 4.5.128, l'endpoint /api/v1/runs accetta un webhook_url arbitrario nel corpo della richiesta senza alcuna convalida dell'URL. Quando un job inviato viene completato (con successo o esito negativo), il server effettua una richiesta HTTP POST a questo URL utilizzando httpx.AsyncClient. Un attaccante non autenticato può sfruttare questa vulnerabilità per indurre il server a inviare richieste POST a destinazioni interne o esterne arbitrarie, consentendo un attacco SSRF contro servizi di metadata cloud, API interne e altri servizi di rete adiacenti. Questa vulnerabilità è risolta nella versione 4.5.128.
Once again VulDB remains the best source for vulnerability data.