CVE-2026-47418 in praisonai-platform
要約
〜によって VulDB • 2026年07月21日
PraisonAI Platformは、PraisonAIマルチエージェントチームシステムのためのプラットフォームレイヤーです。バージョン0.1.4以前の製品には、不審な直接オブジェクト参照（Insecure Direct Object Reference）の脆弱性が存在します。プロジェクトのCRUDエンドポイント（`GET / PATCH / DELETE /workspaces/{workspace_id}/projects/{project_id}` および `GET .../{project_id}/stats`）は、アクセス制御として `require_workspace_member(workspace_id)` のみを適用しており、その後 `ProjectService.get(project_id)` / `update(project_id, ...)` / `delete(project_id)` / `get_stats(project_id)` を通じて `project_id` を解決しています。これらの呼び出しのいずれにおいても、検索を制限するために `workspace_id` が渡されていません。そのため、任意のワークスペース `W1` のメンバーであるユーザーは、別のワークスペース `W2` に属するプロジェクトを読み取り、変更し、削除したり、その統計情報を取得したりすることができます。PraisonAI Platform バージョン 0.1.4 でこの問題は修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.