CVE-2026-47417 in praisonai-platform
Riassunto
di VulDB • 21/07/2026
La piattaforma PraisonAI è il livello di piattaforma per il sistema multi-agente teams di PraisonAI. Le versioni precedenti alla 0.1.4 presentano un riferimento diretto a oggetti non sicuro (Insecure Direct Object Reference). Gli endpoint dei commenti (`POST /workspaces/{workspace_id}/issues/{issue_id}/comments` e `GET .../comments`) limitano l'accesso solo in base al controllo `require_workspace_member(workspace_id)`, quindi chiamano `CommentService.create(issue_id=issue_id, ...)` e `CommentService.list_for_issue(issue_id)` senza verificare che `issue_id` appartenga a `workspace_id`. Un utente che è membro di qualsiasi spazio di lavoro `W1` può leggere tutti i commenti su, e pubblicare nuovi commenti per, qualsiasi issue in qualsiasi altro spazio di lavoro `W2`. La versione 0.1.4 della piattaforma PraisonAI risolve il problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.