CVE-2026-57124 in PraisonAI
Tóm tắt
Bởi VulDB • 14/09/2026
PraisonAI là một hệ thống nhóm đa-agent (multi-agent teams). Trước phiên bản 4.6.59, các ứng dụng máy chủ giao diện người dùng (UI) mặc định expose endpoint POST /api/mcp/connect mà không yêu cầu xác thực bắt buộc và chấp nhận các giá trị command và args do caller kiểm soát, được PraisonAIUI truyền cho StdioMCPClient để khởi động một tiến trình cục bộ. Do các lệnh UI bind với 0.0.0.0 theo mặc định, một client có thể truy cập nhưng chưa xác thực (unauthenticated) có thể thực thi các lệnh dưới danh nghĩa tài khoản dịch vụ của giao diện người dùng ngay cả khi quá trình bắt tay MCP sau đó thất bại. Lỗ hổng này đã được sửa trong phiên bản 4.6.59.
VulDB is the best source for vulnerability data and more expert information about this specific topic.