CVE-2026-47418 in praisonai-platform
요약
\~에 의해 VulDB • 2026. 07. 21.
PraisonAI 플랫폼은 PraisonAI 다중 에이전트 팀 시스템의 플랫폼 레이어입니다. 버전 0.1.4 이전에는 부당한 직접 객체 참조(Insecure Direct Object Reference) 취약점이 존재합니다. 프로젝트 CRUD 엔드포인트(`GET / PATCH / DELETE /workspaces/{workspace_id}/projects/{project_id}` 및 `GET .../{project_id}/stats`)는 `require_workspace_member(workspace_id)`를 통해 접근을 제한한 후, `ProjectService.get(project_id)` / `update(project_id, ...)` / `delete(project_id)` / `get_stats(project_id)`를 사용하여 `project_id`를 해결합니다. 그러나 이러한 호출 중 어느 것도 조회 범위를 제약하기 위해 `workspace_id`를 함께 전달하지 않습니다. 따라서 사용자는 임의의 워크스페이스 W1의 구성원인 경우에도, 다른 워크스페이스 W2에 속한 프로젝트의 데이터를 읽거나 수정하거나 삭제하거나 통계를 확인할 수 있습니다. PraisonAI Platform 버전 0.1.4에서 해당 문제가 패치되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.