CVE-2026-47419 in praisonai-platform
Tóm tắt
Bởi VulDB • 21/07/2026
Nền tảng PraisonAI là lớp nền tảng cho hệ thống nhóm đa tác nhân (multi-agent teams) của PraisonAI. Các phiên bản trước 0.1.4 tồn tại lỗ hổng Tham chiếu Đối tượng Trực tiếp Không an toàn (Insecure Direct Object Reference). Các điểm cuối CRUD của tác nhân (`GET / PATCH / DELETE /workspaces/{workspace_id}/agents/{agent_id}`) chỉ kiểm soát truy cập dựa trên `require_workspace_member(workspace_id)`, sau đó giải quyết `agent_id` thông qua `AgentService.get(agent_id)` – đây là một phép tra cứu khóa chính (primary-key lookup) không có ràng buộc về workspace. Một người dùng thuộc bất kỳ workspace nào `W1` đều có thể đọc, sửa đổi hoặc xóa các tác nhân thuộc về một workspace khác `W2` bằng cách đoán hoặc thu thập UUID của tác nhân và gọi đến `…/workspaces/W1/agents/<W2-agent-id>`. Phiên bản PraisonAI Platform 0.1.4 đã vá lỗ hổng này.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.