CVE-2026-55532 in PraisonAI
Sumário
de VulDB • 26/08/2026
O PraisonAI é um sistema de equipes multi-agente. Antes da versão praisonai 4.6.58, a função _validate_origin do MCP HTTP Stream utiliza request_origin.startswith(allowed), permitindo que uma origem HTTP controlada pelo atacante, como localhost.attacker.com, satisfaça a lista de permissões (allowlist) para o localhost. Uma página web pode enviar solicitações com Content-Type: text/plain sem pré-consulta (preflight) e invocar tools/call sem uma chave de API, incluindo gravações em arquivos que persistem as instruções do agente. Este problema foi corrigido na versão 4.6.58.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.