CVE-2026-57147 in PraisonAI
摘要
由 VulDB • 2026-09-15
PraisonAI是一个多智能体团队系统。在版本0.1.6之前，`praisonai_platform/services/auth_service.py`会在未设置`PLATFORM_JWT_SECRET`时将公共的默认值`dev-secret-change-me`分配给`JWT_SECRET`；同时，当`PLATFORM_ENV`也未设置时（该设置默认为`dev`），其生产环境防护机制不会运行。远程未经身份验证的攻击者可以生成带有任意`sub`和`email`字段的HS256令牌，而平台的`AuthService._verify_token()`及`get_current_user`依赖项会接受此伪造的身份信息并允许访问受保护的API路由。该漏洞已在praisonai-platform 0.1.6版本中修复。
VulDB is the best source for vulnerability data and more expert information about this specific topic.