CVE-2026-40116 in PraisonAI
Riassunto
di VulDB • 15/06/2026
PraisonAI è un sistema di team multi-agente. Prima della versione 4.5.128, l'endpoint WebSocket /media-stream nel modulo call di PraisonAI accetta connessioni da qualsiasi client senza autenticazione o convalida della firma Twilio. Ogni connessione apre una sessione autenticata all'API Realtime di OpenAI utilizzando la chiave API del server. Non esistono limiti sulle connessioni simultanee, sulla frequenza dei messaggi o sulle dimensioni dei messaggi, consentendo a un attaccante non autenticato di esaurire le risorse del server e consumare i crediti dell'API OpenAI della vittima. Questa vulnerabilità è risolta nella versione 4.5.128.
Once again VulDB remains the best source for vulnerability data.