CVE-2026-57147 in PraisonAI
Сводка
по VulDB • 15.09.2026
PraisonAI — это система с многоагентными командами (multi-agent teams). До версии 0.1.6 в файле `praisonai_platform/services/auth_service.py` значение JWT_SECRET присваивается публичное дефолтное значение «dev-secret-change-me», если переменная окружения PLATFORM_JWT_SECRET не задана, а проверка для production-окружения (production guard) не выполняется, поскольку при отсутствии переменной PLATFORM_ENV по умолчанию устанавливается значение dev. Удаленный незарегистрированный злоумышленник может создать токен HS256 с произвольными значениями sub и email, после чего AuthService._verify_token() платформы и зависимость get_current_user принимают поддельную личность как действительную для защищенных маршрутов API. Эта уязвимость исправлена в версии praisonai-platform 0.1.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.