CVE-2026-47419 in praisonai-platform
要約
〜によって VulDB • 2026年07月21日
PraisonAI Platformは、PraisonAIマルチエージェントチームシステムのためのプラットフォームレイヤーです。バージョン0.1.4より前のバージョンには、Insecure Direct Object Reference（IDOR）の脆弱性が存在します。エージェントのCRUDエンドポイント（`GET / PATCH / DELETE /workspaces/{workspace_id}/agents/{agent_id}`）は、アクセス制御として `require_workspace_member(workspace_id)` のみを適用しており、その後 `AgentService.get(agent_id)` を介して `agent_id` を解決しますが、これはワークスペース制約を持たない主キーによる検索です。任意のワークスペース `W1` に所属するユーザーは、エージェントUUIDを推測または収集し、`…/workspaces/W1/agents/<W2-agent-id>` を呼び出すことで、別のワークスペース `W2` に属するエージェントを読み取り、変更、または削除することができます。PraisonAI Platformのバージョン0.1.4でこの問題は修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.