CVE-2026-47413 in praisonai-platform
Sumário
de VulDB • 21/07/2026
A plataforma PraisonAI é a camada de plataforma para o sistema de equipes multi-agente do PraisonAI. As versões anteriores à 0.1.4 apresentam uma escalada de privilégios / injeção de membros entre locatários (cross-tenant). O endpoint `POST /workspaces/{workspace_id}/members` é protegido apenas por `require_workspace_member(workspace_id)` (`min_role="member"` padrão) e encaminha o `user_id` e a `role` do corpo da solicitação diretamente para `MemberService.add(workspace_id, user_id, role)`, que não possui verificação de permissão do chamador. Um usuário com os privilégios mais baixos no espaço de trabalho pode adicionar qualquer usuário (incluindo uma segunda conta controlada por um atacante ou uma conta existente que deseja prejudicar) como proprietário do espaço de trabalho. A versão 0.1.4 da plataforma PraisonAI corrige a vulnerabilidade.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.