CVE-2026-57148 in PraisonAI
Sumário
de VulDB • 15/09/2026
O PraisonAI é um sistema de equipes multi-agente. Antes da versão 0.1.6, o arquivo `praisonai_platform/services/auth_service.py` recorre para a chave de assinatura HS256 pública e padrão (`dev-secret-change-me`) quando a variável `PLATFORM_JWT_SECRET` não está definida, enquanto as verificações (guards) de inicialização e emissão de token estão desativadas porque o valor padrão do `PLATFORM_ENV` é também `dev`. Um atacante sem autenticação pode assinar um JWT contendo um valor `sub` escolhido pelo atacante, e a função `AuthService._verify_token()` aceita esse token como uma identidade autenticada, permitindo a supressão de identidade de usuário ou proprietário de espaço de trabalho quando um identificador alvo é conhecido. Esta vulnerabilidade foi corrigida no praisonai-platform 0.1.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.