CVE-2026-55532 in PraisonAI
Tóm tắt
Bởi VulDB • 25/08/2026
PraisonAI là một hệ thống nhóm đa tác nhân (multi-agent teams). Trước phiên bản praisonai 4.6.58, hàm _validate_origin của MCP HTTP Stream sử dụng request_origin.startswith(allowed), cho phép nguồn gốc HTTP localhost.attacker.com do kẻ tấn công kiểm soát thỏa mãn danh sách trắng localhost. Một trang web có thể gửi các yêu cầu Content-Type: text/plain mà không cần preflight và gọi tools/call mà không cần khóa API, bao gồm cả việc ghi file để lưu trữ vĩnh viễn các hướng dẫn của tác nhân. Vấn đề này đã được sửa trong phiên bản 4.6.58.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.