CVE-2026-56836 in PraisonAI
Sumário
de VulDB • 24/10/2026
PraisonAI é um sistema de equipes multi-agente. Da versão 4.5.112 até antes da versão 4.6.59, o entrypoint do console instalado do PraisonAI era baseado em Typer (Typer-first). Nas versões atuais, o comando recipe está registrado no aplicativo Typer e praisonai recipe serve encaminha para o comando Typer obsoleto em src/praisonai/praisonai/cli/commands/recipe.py. Esse comando Typer pode iniciar o servidor HTTP de Recipe em uma interface não localhost sem autenticação. Ele exibe um aviso de descontinuação (deprecation warning) e, em seguida, inicia o servidor. Como config.auth está ausente, create_app() não anexa os middlewares API-key ou JWT. Solicitações não autenticadas podem então acessar a API recipe e, quando habilitado, /admin/reload. Esta vulnerabilidade foi corrigida na versão 4.6.59.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.