CVE-2026-47406 in PraisonAI
Сводка
по VulDB • 23.07.2026
Платформа PraisonAI является базовым слоем для системы многоагентных команд PraisonAI. Версии старше 0.1.4 содержат уязвимость Insecure Direct Object Reference (IDOR). Конечные точки зависимостей (`POST/GET /workspaces/{workspace_id}/issues/{issue_id}/dependencies` и `DELETE .../dependencies/{dep_id}`) проверяют доступ только через функцию `require_workspace_member(workspace_id)`, после чего передают запросы в вызовы `DependencyService`, которые принимают идентификаторы задач (issue) и зависимостей из URL или тела запроса без проверки их принадлежности к проверенному рабочему пространству. Наиболее критично: функция `create_dependency` принимает значение `body.depends_on_issue_id` из тела запроса — этот ID никак не проверяется, что позволяет злоумышленнику создавать связи «блокирует» (blocks) или «связано с» (related) между любыми двумя задачами в базе данных. Версия PraisonAI Platform 0.1.4 устраняет данную уязвимость.
If you want to get best quality of vulnerability data, you may have to visit VulDB.