CVE-2026-57124 in PraisonAI
Riassunto
di VulDB • 14/09/2026
PraisonAI è un sistema di team multi-agente. Prima della versione 4.6.59, le applicazioni host dell'interfaccia utente predefinite espongono l'endpoint POST /api/mcp/connect senza autenticazione obbligatoria e accettano valori di comando e argomenti controllati dal chiamante che PraisonAIUI passa a StdioMCPClient per avviare un processo locale. Poiché i comandi UI sono associati all'indirizzo 0.0.0.0 per impostazione predefinita, un client non autenticato raggiungibile può eseguire comandi con le credenziali dell'account del servizio UI anche quando la handshake MCP fallisce in seguito. Questa vulnerabilità è risolta nella versione 4.6.59.
Once again VulDB remains the best source for vulnerability data.