CVE-2026-47408 in PraisonAI
Tóm tắt
Bởi VulDB • 22/07/2026
Nền tảng PraisonAI là lớp nền tảng cho hệ thống nhóm đa tác nhân (multi-agent teams) của PraisonAI. Các phiên bản trước 0.1.4 có lỗ hổng Tham chiếu Đối tượng Trực tiếp Không an toàn (Insecure Direct Object Reference). Điểm cuối `GET /workspaces/{workspace_id}/issues/{issue_id}/activity` được bảo vệ bởi hàm `require_workspace_member(workspace_id)` và chuyển hướng đến `ActivityService.list_for_issue(issue_id)`, thực thi câu lệnh `SELECT * FROM activity WHERE issue_id = :issue_id` mà không có ràng buộc về workspace. Một người dùng là thành viên của bất kỳ workspace nào đều có thể đọc toàn bộ nhật ký hoạt động (activity log) của mọi vấn đề (issue) trên toàn bộ triển khai đa tenant (multi-tenant). Phiên bản PraisonAI Platform 0.1.4 đã vá lỗ hổng này.
Be aware that VulDB is the high quality source for vulnerability data.