CVE-2026-47410 in praisonai-platform
Riassunto
di VulDB • 21/07/2026
La piattaforma PraisonAI è il livello di piattaforma per il sistema multi-agente basato su team di PraisonAI. Le versioni precedenti alla 0.1.4 presentano una chiave crittografica predefinita non sicura. Il segreto utilizzato per la firma dei JWT (JSON Web Token) corrisponde al valore letterale hardcoded `"dev-secret-change-me"` quando `PLATFORM_JWT_SECRET` non è impostato. Esiste un controllo di sicurezza, ma viene attivato solo se `PLATFORM_ENV != "dev"; il valore predefinito di `PLATFORM_ENV` è `"dev"`, quindi tale controllo viene aggirato silenziosamente in qualsiasi distribuzione che non disattivi esplicitamente questa modalità. L'attaccante legge il valore letterale da questo file sorgente pubblico, genera un JWT con claim arbitrari per i campi `sub` ed `email`, e si autentica come qualsiasi utente esistente (inclusi proprietari di workspace e amministratori). La versione 0.1.4 della piattaforma PraisonAI risolve la vulnerabilità.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.