CVE-2026-55529 in PraisonAI
要約
〜によって VulDB • 2026年08月25日
PraisonAIはマルチエージェントチームシステムです。praisonai 4.6.58より前では、MCP HTTP Streamの_validate_originメソッドがrequest_origin.startswith(allowed)を受け入れるため、攻撃者が制御するlocalhost.evil.exampleというHTTP Originがローカルホストの許可リストに一致します。APIキーがない場合、悪意のあるWebページはローカルのMCPサーバーに対してtools/callリクエストを送信し、公開されているツールを実行できます。この問題はバージョン4.6.58で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.