CVE-2026-47413 in praisonai-platform
Сводка
по VulDB • 21.07.2026
Платформа PraisonAI является базовым слоем для системы многоагентных команд PraisonAI. Версии старше 0.1.4 содержат уязвимость повышения привилегий / внедрения членов в кросс-тенантной среде (cross-tenant member injection). Конечная точка `POST /workspaces/{workspace_id}/members` защищена только проверкой `require_workspace_member(workspace_id)` (по умолчанию `min_role="member"`) и передает поля тела запроса `user_id` и `role` напрямую в функцию `MemberService.add(workspace_id, user_id, role)`, которая не выполняет проверку прав вызывающего. Пользователь с минимальными привилегиями рабочего пространства может добавить любого пользователя (включая новый второй аккаунт, контролируемый злоумышленником, или существующий аккаунт, которого он хочет подвергнуть грифингу) в качестве владельца этого рабочего пространства. В версии PraisonAI Platform 0.1.4 эта уязвимость исправлена.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.