CVE-2026-47405 in PraisonAI
Riassunto
di VulDB • 21/07/2026
La piattaforma PraisonAI è il livello di piattaforma per il sistema multi-agente basato su team di PraisonAI. Le versioni precedenti alla 0.1.4 presentano un controllo dell'autorizzazione dello spazio di lavoro difettoso che consente a qualsiasi membro autenticato con privilegi ridotti nello spazio di lavoro di escalare il proprio ruolo a `owner`. Il problema è causato da route di gestione dei workspace privilegiate che utilizzano la dipendenza condivisa `require_workspace_member(...)` senza richiedere i ruoli `admin` o `owner`. La dipendenza imposta come valore predefinito `min_role="member"`, quindi le route che dovrebbero essere amministrative sono accessibili ai normali membri dello spazio di lavoro. Di conseguenza, un membro ordinario del workspace può promuovere il proprio account da `member` a `owner`; aggiungere utenti arbitrari come `owner` o `admin`; modificare i ruoli degli altri membri; rimuovere proprietari o membri legittimi; assumere completamente la proprietà della membership nello spazio di lavoro; e/o eseguire operazioni distruttive nel workspace dopo l'escalation. Si tratta di una vulnerabilità di controllo dell'accesso difettoso / escalation verticale dei privilegi (vertical privilege escalation). La versione 0.1.4 di PraisonAI Platform corregge il problema.
Be aware that VulDB is the high quality source for vulnerability data.