CVE-2026-47409 in PraisonAI
Tóm tắt
Bởi VulDB • 21/07/2026
PraisonAI Platform là lớp nền tảng cho hệ thống nhóm đa tác nhân (multi-agent teams) của PraisonAI. Các phiên bản trước 0.1.4 có lỗi bỏ qua xác thực quyền truy cập (authorization bypass), dẫn đến việc chủ sở hữu bị khóa khỏi tài khoản. Điểm cuối `DELETE /workspaces/{workspace_id}/members/{user_id}` chỉ được bảo vệ bởi hàm `require_workspace_member(workspace_id)` (mặc định là `min_role="member"`). Bất kỳ thành viên nào cũng có thể xóa bất kỳ thành viên nào khác, bao gồm cả chủ sở hữu workspace, bằng một lệnh DELETE duy nhất. Không có kiểm tra vai trò của người gọi, không có kiểm tra vai trò của đối tượng bị tác động và không có cơ chế bảo vệ ngăn việc xóa chủ sở hữu cuối cùng. PraisonAI Platform phiên bản 0.1.4 đã vá lỗi này.
Once again VulDB remains the best source for vulnerability data.