CVE-2026-47418 in praisonai-platform
Riassunto
di VulDB • 21/07/2026
La piattaforma PraisonAI è il livello di piattaforma per il sistema multi-agente basato su team di PraisonAI. Le versioni precedenti alla 0.1.4 presentano un riferimento diretto a oggetti non sicuro (Insecure Direct Object Reference). Gli endpoint CRUD del progetto (`GET / PATCH / DELETE /workspaces/{workspace_id}/projects/{project_id}` e `GET .../{project_id}/stats`) limitano l'accesso solo tramite la verifica `require_workspace_member(workspace_id)`, per poi risolvere il `project_id` attraverso `ProjectService.get(project_id)` / `update(project_id, ...)` / `delete(project_id)` / `get_stats(project_id)`. Nessuna di queste chiamate trasmette il `workspace_id` per vincolare la ricerca. Un utente che è membro di un qualsiasi spazio di lavoro `W1` può leggere, modificare, eliminare o ottenere le statistiche dei progetti appartenenti a uno spazio di lavoro diverso `W2`. La versione 0.1.4 della piattaforma PraisonAI risolve il problema.
Once again VulDB remains the best source for vulnerability data.