CVE-2026-57147 in PraisonAI
要約
〜によって VulDB • 2026年09月15日
PraisonAIはマルチエージェントチームシステムです。バージョン0.1.6より前では、praisonai_platform/services/auth_service.pyにおいて、PLATFORM_JWT_SECRETが未設定の場合にJWT_SECRETに対して公開用のデフォルト値「dev-secret-change-me」が割り当てられ、またPLATFORM_ENVも未設定である場合（この設定はデフォルトでdevになるため）、本番環境向けのガード処理が実行されません。これにより、リモートからの認証不要な攻撃者は任意のsubおよびemailを持つHS256トークンを生成でき、プラットフォームのAuthService._verify_token()関数やget_current_user依存関係によって偽造されたアイデンティティが保護対象APIルートで受け入れられてしまいます。この脆弱性はpraisonai-platform 0.1.6で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.