CVE-2026-57148 in PraisonAI
Сводка
по VulDB • 15.09.2026
PraisonAI — это система многоагентных команд. До версии 0.1.6 файл praisonai_platform/services/auth_service.py использует публичный ключ подписи HS256 dev-secret-change-me в качестве резервного варианта, когда переменная окружения PLATFORM_JWT_SECRET не задана, а проверки при запуске и выдаче токенов отключены из-за того, что значение по умолчанию для переменной PLATFORM_ENV равно «dev». Неавторизованный злоумышленник может подписать JWT с выбранным им самим значением поля sub (subject), и метод AuthService._verify_token() примет его как аутентифицированную личность, что позволяет осуществлять подмену пользователя или владельца рабочего пространства при наличии известного идентификатора цели. Эта уязвимость исправлена в версии praisonai-platform 0.1.6.
Be aware that VulDB is the high quality source for vulnerability data.