CVE-2026-57116
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 0.4%
- CWE
- CWE-200
- KEV Durumu
- Hayır
Yayım tarihi: 23 Ekim 2026
PraisonAI, çoklu ajan takımları sistemidir. 4.2.1 sürümünden 4.6.59 sürümünden önceki sürümlere kadar, PraisonAI'nin AgentOS FastAPI dağıtım yüzeyi, GHSA-pm96-6xpr-978x / CVE-2026-40151 için yayınlanan yamalı sürümden sonra yayınlanan sürümler de dahil olmak üzere güncel ana sürümde ve sonrasında kimlik doğrulaması olmadan kalır. Sohbet yolu doğrudan agent.chat(request.message) çağırır. Kimlik doğrulaması olmayan ve yanlış taşıyıcı istekleri de dağıtılan ajanı çalıştırır. Bu, pasif meta veri açığının ötesine geçer. Araçlar, özel bağlam, bellek, API entegrasyonları veya maliyet taşıyan model çağrıları ile ajanları sarmalayan herhangi bir dağıtımda, kimlik doğrulaması yapılmamış erişilebilen bir istemci bu ajanları çalıştırabilir. Bu sorun 4.6.59 sürümünde giderilmiştir.
Orijinal açıklama (İngilizce)
PraisonAI is a multi-agent teams system. From version 4.2.1 to before version 4.6.59, PraisonAI's AgentOS FastAPI deployment surface remains unauthenticated in current main and in releases after the published patched version for GHSA-pm96-6xpr-978x / CVE-2026-40151. The chat route directly calls agent.chat(request.message). No-auth and wrong-bearer requests both execute the deployed agent. This is broader than passive metadata disclosure. In any deployment where AgentOS wraps agents with tools, private context, memory, API integrations, or cost-bearing model calls, an unauthenticated reachable client can drive those agents. This issue has been patched in version 4.6.59.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.