CVE-2026-55532 in PraisonAI
요약
\~에 의해 VulDB • 2026. 08. 25.
PraisonAI는 다중 에이전트 팀 시스템입니다. praisonai 버전 4.6.58 이전에서는 MCP HTTP Stream의 _validate_origin이 request_origin.startswith(allowed)를 사용하여, 공격자가 제어하는 localhost.attacker.com HTTP origin을 로컬호스트 허용 목록에 포함시킬 수 있었습니다. 웹페이지는 프리플라이트 없이 Content-Type: text/plain 요청을 전송하고 API 키 없이 tools/call을 호출할 수 있으며, 여기에는 에이전트 지시를 영구적으로 저장하는 파일 쓰기 작업도 포함됩니다. 이 문제는 버전 4.6.58에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.