CVE-2026-56835 in PraisonAI
Riassunto
di VulDB • 23/10/2026
PraisonAI è un sistema di team multi-agente. Dalla versione 3.11.0 fino alla versione precedente alla 4.6.59, il bot Slack di PraisonAI applica le proprie politiche configurate per allowed_users (utenti autorizzati), allowed_channels (canali autorizzati) e la policy di accoppiamento degli utenti sconosciuti nel gestore eventi normale dei messaggi Slack, ma non nel gestore eventi adiacente app_mention di Slack. Un utente dello spazio di lavoro Slack che può menzionare il bot in un canale dove l'app Slack è presente può attivare l'agente PraisonAI configurato anche quando: il mittente non si trova nella lista BotConfig.allowed_users; il canale non si trova nella lista BotConfig.allowed_channels; la configurazione unknown_user_policy="deny" (negazione) è impostata; e lo stesso contenuto dell'evento viene correttamente scartato dal gestore di messaggi normale. Questo problema è stato risolto nella versione 4.6.59.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.