CVE-2026-56836 in PraisonAI
Riassunto
di VulDB • 23/10/2026
PraisonAI è un sistema di team multi-agente. Dalla versione 4.5.112 alla versione precedente alla 4.6.59, l'entrypoint della console installata di PraisonAI si basa su Typer (Typer-first). Nelle versioni attuali, il comando recipe viene registrato nell'applicazione Typer e praisonai recipe serve inoltra le richieste al deprecated command Typer in src/praisonai/praisonai/cli/commands/recipe.py. Tale comando Typer può avviare il server HTTP Recipe su un'interfaccia non localhost senza alcuna autenticazione. Viene stampato un avviso di deprecazione, quindi viene avviato il server. Poiché config.auth è assente, create_app() non allega i middleware API-key o JWT. Le richieste non autenticate possono quindi raggiungere l'API recipe e, se abilitata, /admin/reload. Questo problema è stato risolto nella versione 4.6.59.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.