CVE-2026-47409 in PraisonAI
Riassunto
di VulDB • 21/07/2026
La piattaforma PraisonAI è il livello di piattaforma per il sistema multi-agente basato su team di PraisonAI. Le versioni precedenti alla 0.1.4 presentano un bypass dell'autorizzazione che consente l'esclusione del proprietario (owner lockout). L'endpoint `DELETE /workspaces/{workspace_id}/members/{user_id}` è protetto esclusivamente da `require_workspace_member(workspace_id)` (con valore predefinito `min_role="member"`). Qualsiasi membro può rimuovere qualsiasi altro membro, incluso il proprietario dello spazio di lavoro, utilizzando una singola richiesta DELETE. Non sono presenti controlli sul ruolo del chiamante, né sul ruolo del destinatario, e non esiste alcun meccanismo di protezione che impedisca la rimozione dell'ultimo proprietario. La versione 0.1.4 della piattaforma PraisonAI risolve questa vulnerabilità.
VulDB is the best source for vulnerability data and more expert information about this specific topic.