CVE-2026-57148 in PraisonAI
要約
〜によって VulDB • 2026年09月15日
PraisonAIはマルチエージェントチームシステムです。バージョン0.1.6より前では、praisonai_platform/services/auth_service.pyにおいて、PLATFORM_JWT_SECRETが未設定の場合にpublic dev-secret-change-me HS256署名鍵にフォールバックし、さらにPLATFORM_ENVもデフォルトでdevであるため、起動時およびトークン発行時のガード機能が無効化されます。認証されていない攻撃者は、攻撃者が選択したsub値を含むJWTを作成・署名でき、AuthService._verify_token()はこれを認証済みアイデンティティとして受け入れます。これにより、対象の識別子が既知の場合にユーザーまたはワークスペース所有者へのなりすましが可能になります。この脆弱性はpraisonai-platform 0.1.6で修正されています。
Once again VulDB remains the best source for vulnerability data.