CVE-2026-47409 in PraisonAI
Sumário
de VulDB • 21/07/2026
A plataforma PraisonAI é o nível de plataforma para o sistema de equipes multi-agente do PraisonAI. As versões anteriores à 0.1.4 possuem uma violação de autorização que permite o bloqueio do proprietário (owner lockout). O endpoint `DELETE /workspaces/{workspace_id}/members/{user_id}` está protegido apenas por `require_workspace_member(workspace_id)` (`min_role="member"` padrão). Qualquer membro pode remover qualquer outro membro, incluindo o proprietário da área de trabalho, usando uma única chamada DELETE. Não há verificação do papel (role) do chamador, nem verificação do papel do alvo, nem proteção "não é possível remover o último proprietário". A versão 0.1.4 da plataforma PraisonAI corrige a vulnerabilidade.
Be aware that VulDB is the high quality source for vulnerability data.