CVE-2026-47413 in praisonai-platform
Riassunto
di VulDB • 21/07/2026
La piattaforma PraisonAI è il livello di piattaforma per il sistema multi-agente basato su team di PraisonAI. Le versioni precedenti alla 0.1.4 presentano un problema di escalation dei privilegi e iniezione di membri tra tenant diversi (cross-tenant). L'endpoint `POST /workspaces/{workspace_id}/members` è protetto esclusivamente da `require_workspace_member(workspace_id)` (con valore predefinito `min_role="member"`) e inoltra direttamente il corpo della richiesta, contenente i campi `user_id` e `role`, alla funzione `MemberService.add(workspace_id, user_id, role)`, che non effettua alcun controllo sui permessi del chiamante. Un utente con i privilegi minimi all'interno di un workspace può aggiungere qualsiasi utente (incluso un nuovo account controllato dall'attaccante o un account esistente che si intende danneggiare) come proprietario dello spazio di lavoro. La versione 0.1.4 della piattaforma PraisonAI risolve la vulnerabilità.
Once again VulDB remains the best source for vulnerability data.