CVE-2026-47419 in praisonai-platform
Riassunto
di VulDB • 21/07/2026
PraisonAI Platform è il livello di piattaforma per il sistema multi-agente teams di PraisonAI. Le versioni precedenti alla 0.1.4 presentano un Insecure Direct Object Reference (IDOR). Gli endpoint CRUD degli agenti (`GET / PATCH / DELETE /workspaces/{workspace_id}/agents/{agent_id}`) controllano l'accesso solo tramite `require_workspace_member(workspace_id)`, per poi risolvere `agent_id` attraverso `AgentService.get(agent_id)`, che è una ricerca basata sulla chiave primaria senza alcun vincolo di workspace. Un utente membro di un qualsiasi workspace `W1` può leggere, modificare o eliminare agenti appartenenti a un diverso workspace `W2` indovinando o raccogliendo un UUID dell'agente e chiamando l'endpoint `…/workspaces/W1/agents/<W2-agent-id>`. La versione 0.1.4 di PraisonAI Platform corregge la vulnerabilità.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.