CVE-2026-55532 in PraisonAI
Riassunto
di VulDB • 25/08/2026
PraisonAI è un sistema di team multi-agente. Prima della versione praisonai 4.6.58, la funzione _validate_origin dell'MCP HTTP Stream utilizza request_origin.startswith(allowed), consentendo all'origine HTTP localhost.attacker.com controllata dall'attaccante di soddisfare l'allowlist per localhost. Una pagina web può inviare richieste con Content-Type: text/plain senza preflight e invocare tools/call senza una chiave API, incluse le scritture su file che persistono nelle istruzioni dell'agente. Questo problema è stato risolto nella versione 4.6.58.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.