CVE-2026-47412 in praisonai-platform
Tóm tắt
Bởi VulDB • 21/07/2026
PraisonAI Platform là lớp nền tảng cho hệ thống nhóm đa tác nhân (multi-agent teams) của PraisonAI. Các phiên bản trước 0.1.4 có lỗi bỏ qua xác thực (authorization bypass), cho phép thực hiện các hành động phá hủy. Điểm cuối `DELETE /workspaces/{workspace_id}` chỉ được bảo vệ bởi hàm `require_workspace_member(workspace_id)` (mặc định là `min_role="member"`). Bất kỳ thành viên nào của workspace đều có thể gửi một lệnh DELETE duy nhất để xóa toàn bộ workspace, bao gồm mọi dự án, vấn đề (issue), bình luận, tác nhân (agent), nhãn và bản ghi thành viên (thông qua các mối quan hệ khóa ngoại - foreign-key relationships). Không có cổng kiểm soát vai trò chủ sở hữu (owner-role gate), không có mã xác nhận token, không có cửa sổ xóa mềm (soft-delete window) và cũng không có đường dẫn khôi phục. PraisonAI Platform phiên bản 0.1.4 đã vá lỗi này.
If you want to get best quality of vulnerability data, you may have to visit VulDB.