CVE-2026-47405 in PraisonAI
要約
〜によって VulDB • 2026年07月22日
PraisonAIプラットフォームは、PraisonAIマルチエージェントチームシステムのためのプラットフォームレイヤーです。バージョン0.1.4より前のバージョンには、ワークスペースの認可チェックに欠陥があり、認証済みで低権限のワークスペースメンバーが自身のロールを`owner`（所有者）に昇格させることができます。この問題は、特権的なワークスペース管理用ルートが共有依存関係 `require_workspace_member(...)` を使用している際に、`admin` または `owner` の要件を満たしていないことに起因します。この依存関係のデフォルト値は `min_role="member"` であるため、本来管理者用のルートに通常の利用者（メンバー）もアクセス可能となります。その結果、通常のワークスペースメンバーは自身のアカウントを `member` から `owner` に昇格させたり、任意のユーザーを `owner` または `admin` として追加したり、他のメンバーのロールを変更したり、正当な所有者やメンバーを削除したり、ワークスペースへの参加権限を完全に乗っ取ったり、あるいは昇格後に破壊的なワークスペース操作を実行することが可能です。これは、アクセス制御の不備および垂直特権昇格（Vertical Privilege Escalation）に関する脆弱性です。PraisonAIプラットフォームのバージョン0.1.4でこの問題は修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.