CVE-2026-57148 in PraisonAI
Riassunto
di VulDB • 15/09/2026
PraisonAI è un sistema di team multi-agente. Prima della versione 0.1.6, il file `praisonai_platform/services/auth_service.py` utilizza come chiave di firma HS256 pubblica e predefinita "dev-secret-change-me" quando la variabile d'ambiente `PLATFORM_JWT_SECRET` non è impostata, mentre i controlli di avvio (startup) e di emissione dei token sono disabilitati poiché anche `PLATFORM_ENV` ha per valore predefinito "dev". Un attaccante non autenticato può firmare un JWT contenente un valore `sub` scelto dall'attaccante, e il metodo `AuthService._verify_token()` lo accetta come identità autenticata, consentendo l'impostazione di false identità (impersonation) a livello di utente o proprietario dello spazio di lavoro quando è noto un identificativo del target. Questa vulnerabilità è risolta in praisonai-platform versione 0.1.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.