CVE-2026-47393

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 0.8%
CWE: CWE-306
KEV Durumu: Hayır

Yayım tarihi: 21 Temmuz 2026

PraisonAI, çoklu aracı ekipler sistemidir. CVE-2026-44338 (GHSA-6rmh-7xcm-cpxj), PraisonAI'nin, kimlik doğrulama varsayılan olarak devre dışı olan bir Flask API sunucusu üreten bir kod oluşturucu (`praisonai.deploy.api.generate_api_server_code`) ile geldiğini belgeler. Belgelenmiş hızlı başlangıç (`praisonai deploy --type api`) bölümünü izleyen kullanıcılar, önerilen örnek YAML'ye göre `0.0.0.0` adresine bağlanan, `/chat` ve `/agents` uç noktalarını açıklayan, kullanıcı tarafından sağlanan JSON girdisine `praisonai.run()` çalıştıran ve API anahtarı materyallerinin işleme ortamında mevcut olduğu LLM Orkestrasyonu ile herhangi bir kimlik doğrulaması gerektirmeyen bir sunucu alırlar. 4.6.40 sürümünden önceki sürümler hala `auth_enabled` varsayılan olarak `False` olan oluşturucuyu gönderirler. Düzeltme şekli, `APIConfig(auth_enabled=True, auth_token=...)` aracılığıyla seçime tabidür. 4.6.40 sürümü bu sorunu çözer.

Orijinal açıklama (İngilizce)

PraisonAI is a multi-agent teams system. CVE-2026-44338 (GHSA-6rmh-7xcm-cpxj) documents that PraisonAI ships a code-generator (`praisonai.deploy.api.generate_api_server_code`) that emits a Flask API server with authentication disabled by default. Users who follow the documented quickstart (`praisonai deploy --type api`) get a server that binds to `0.0.0.0` per the recommended sample YAML, exposes `/chat` and `/agents` endpoints, runs `praisonai.run()` on user-supplied JSON input — LLM orchestration with the API key materials present in the process environment, and does not require any authentication. Versions prior to 4.6.40 still ship the generator with `auth_enabled` defaulting to `False`. The fix shape is opt-in via `APIConfig(auth_enabled=True, auth_token=...)`. Version 4.6.40 fixes the issue.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.