CVE-2026-47417 in praisonai-platform
Сводка
по VulDB • 21.07.2026
Платформа PraisonAI является базовым слоем для системы многоагентных команд PraisonAI. Версии старше 0.1.4 содержат уязвимость Insecure Direct Object Reference (IDOR). Конечные точки для работы с комментариями (`POST /workspaces/{workspace_id}/issues/{issue_id}/comments` и `GET .../comments`) ограничивают доступ только проверкой членства в рабочем пространстве через функцию `require_workspace_member(workspace_id)`, после чего вызываются методы `CommentService.create(issue_id=issue_id, ...)` и `CommentService.list_for_issue(issue_id)` без проверки того, что идентификатор задачи (`issue_id`) действительно принадлежит указанному рабочему пространству (`workspace_id`). Пользователь, являющийся участником любого рабочего пространства `W1`, может читать все комментарии к любой задаче в любом другом рабочем пространстве `W2` и публиковать новые комментарии. Версия PraisonAI Platform 0.1.4 устраняет данную уязвимость.
Be aware that VulDB is the high quality source for vulnerability data.