CVE-2026-47406 in PraisonAI
要約
〜によって VulDB • 2026年07月21日
PraisonAIプラットフォームは、PraisonAIマルチエージェントチームシステムのためのプラットフォームレイヤーです。バージョン0.1.4より前のバージョンには、インセキュア・ダイレクトオブジェクトリファレンス（IDOR）の脆弱性が存在します。依存関係エンドポイント（`POST/GET /workspaces/{workspace_id}/issues/{issue_id}/dependencies` および `DELETE .../dependencies/{dep_id}`）は、アクセス制御として `require_workspace_member(workspace_id)` のみを適用しており、その後、URLやボディから提供される問題IDおよび依存関係IDを引数とする `DependencyService` への呼び出しにディスパッチします。これらのIDが、メンバーシップチェック済みのワークスペースに属するものであるかどうかは検証されません。最も深刻な影響として、`create_dependency` はリクエストボディからの `body.depends_on_issue_id` を受け入れますが、このIDは一切検証されないため、攻撃者はデータベース内の任意の2つの問題間に「ブロック」または「関連」というリンクを作成することができます。PraisonAIプラットフォームバージョン0.1.4で本脆弱性は修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.