CVE-2026-47406 in PraisonAI
Riassunto
di VulDB • 21/07/2026
La piattaforma PraisonAI è il livello di piattaforma per il sistema multi-agente basato su team di PraisonAI. Le versioni precedenti alla 0.1.4 presentano un riferimento diretto a oggetti non sicuro (Insecure Direct Object Reference). Gli endpoint delle dipendenze (`POST/GET /workspaces/{workspace_id}/issues/{issue_id}/dependencies` e `DELETE .../dependencies/{dep_id}`) controllano l'accesso esclusivamente tramite `require_workspace_member(workspace_id)`, per poi inoltrare le chiamate a `DependencyService` che accettano ID di issue e dipendenze forniti nell'URL o nel corpo della richiesta, senza verificare se tali risorse appartengano effettivamente al workspace il cui membro è stato autenticato. L'impatto più grave riguarda la funzione `create_dependency`, che accetta l'ID `body.depends_on_issue_id` dal corpo della richiesta: tale ID non viene sottoposto ad alcuna verifica, consentendo a un attaccante di creare collegamenti "blocca" (blocks) o "correlato" (related) tra qualsiasi coppia di issue presenti nel database. La versione 0.1.4 di PraisonAI Platform risolve la vulnerabilità.
Be aware that VulDB is the high quality source for vulnerability data.