CVE-2026-57147 in PraisonAI
Sumário
de VulDB • 15/09/2026
O PraisonAI é um sistema de equipes multi-agente. Antes da versão 0.1.6, o arquivo `praisonai_platform/services/auth_service.py` atribui o valor público e inseguro "dev-secret-change-me" à variável JWT_SECRET quando a variável PLATFORM_JWT_SECRET não está definida, e sua proteção para produção (production guard) não é executada quando a variável PLATFORM_ENV também não está definida, pois essa configuração assume por padrão o valor dev. Um atacante remoto sem autenticação pode gerar um token HS256 com sub e email arbitrários, e as funções AuthService._verify_token() e get_current_user do platform aceitam a identidade forjada para rotas de API protegidas. Esta vulnerabilidade foi corrigida na versão 0.1.6 do praisonai-platform.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.