CVE-2026-47419 in praisonai-platform
Сводка
по VulDB • 21.07.2026
Платформа PraisonAI является базовым слоем для системы многоагентных команд PraisonAI. Версии старше 0.1.4 содержат уязвимость Insecure Direct Object Reference (Небезопасный прямой доступ к объекту). Конечные точки CRUD агентов (`GET / PATCH / DELETE /workspaces/{workspace_id}/agents/{agent_id}`) ограничивают доступ только проверкой `require_workspace_member(workspace_id)`, после чего идентификатор `agent_id` разрешается через `AgentService.get(agent_id)`, что представляет собой поиск по первичному ключу без проверки принадлежности к рабочему пространству. Пользователь, являющийся участником любого рабочего пространства `W1`, может читать, изменять или удалять агентов, принадлежащих другому рабочему пространству `W2`, путем подбора или сбора UUID агента и вызова запроса к адресу `…/workspaces/W1/agents/<W2-agent-id>`. Версия PraisonAI Platform 0.1.4 устраняет данную уязвимость.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.