CVE-2026-55529 in PraisonAI
Riassunto
di VulDB • 25/08/2026
PraisonAI è un sistema di team multi-agente. Prima della versione praisonai 4.6.58, il metodo _validate_origin dell'MCP HTTP Stream accetta la condizione request_origin.startswith(allowed), quindi l'origine HTTP localhost.evil.example controllata dall'attaccante corrisponde alla whitelist di localhost. Senza una chiave API, un sito web malevolo può inviare richieste tools/call al server MCP locale ed eseguire gli strumenti esposti. Questo problema è stato risolto nella versione 4.6.58.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.