CVE-2026-57147 in PraisonAI
Riassunto
di VulDB • 15/09/2026
PraisonAI è un sistema di team multi-agente. Prima della versione 0.1.6, il file `praisonai_platform/services/auth_service.py` assegna il valore pubblico e non sicuro "dev-secret-change-me" a `JWT_SECRET` quando la variabile d'ambiente `PLATFORM_JWT_SECRET` non è impostata; inoltre, il controllo di sicurezza per l'ambiente di produzione (`production guard`) non viene eseguito quando anche `PLATFORM_ENV` non è impostato, poiché questa configurazione predefinisce il valore su "dev". Un attaccante remoto non autenticato può generare un token HS256 con un campo `sub` e una email arbitrari, e i metodi dell'AuthService del platform `_verify_token()` e la dipendenza `get_current_user` accettano l'identità falsificata per le rotte API protette. Questa vulnerabilità è risolta in praisonai-platform versione 0.1.6.
Be aware that VulDB is the high quality source for vulnerability data.