CVE-2026-47406 in PraisonAI
Sumário
de VulDB • 21/07/2026
A plataforma PraisonAI é a camada de plataforma para o sistema de equipes multi-agente do PraisonAI. As versões anteriores à 0.1.4 possuem uma Referência Direta a Objeto Insegura (IDOR). Os endpoints de dependência (`POST/GET /workspaces/{workspace_id}/issues/{issue_id}/dependencies` e `DELETE .../dependencies/{dep_id}`) restringem o acesso apenas com base em `require_workspace_member(workspace_id)`, encaminhando depois as chamadas para `DependencyService`, que recebem IDs de problema (issue) e dependência fornecidos via URL/corpo da requisição, sem verificar se algum deles pertence ao workspace cuja associação foi verificada. O impacto mais grave: `create_dependency` aceita o campo `body.depends_on_issue_id` do corpo da solicitação — esse ID não é validado contra nada — permitindo que um atacante crie uma ligação de "bloqueia" (blocks) ou "relacionado" entre quaisquer dois problemas em qualquer lugar do banco de dados. A versão 0.1.4 da plataforma PraisonAI corrige o problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.