CVE-2026-57127
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 0.9%
- CWE
- CWE-306
- KEV Durumu
- Hayır
Yayım tarihi: 14 Eylül 2026
PraisonAI, çoklu ajan takımları sistemidir. 4.6.58 sürümünden önce, bir operatör api-key veya JWT kimlik doğrulamasını seçtiğinde, recipe serve APIKeyAuthMiddleware veya JWTAuthMiddleware yükler, ancak her middleware, PRAISONAI_API_KEY veya PRAISONAI_JWT_SECRET ve ilgili recipe değeri bulunmadığında istekleri iletir. Kimlik doğrulamaları yapılmamış istemciler, daha sonra recipe yürütme, girdi ve çıktı yüzeylerine ulaşabilir ve operatörün açıkça kimlik doğrulamayı etkinleştirmesine rağmen, bağlı araçları tetikleyebilir. Bu sorun 4.6.58 sürümünde giderilmiştir.
Orijinal açıklama (İngilizce)
PraisonAI is a multi-agent teams system. Prior to 4.6.58, recipe serve installs APIKeyAuthMiddleware or JWTAuthMiddleware when an operator selects api-key or JWT authentication, but each middleware forwards requests when PRAISONAI_API_KEY or PRAISONAI_JWT_SECRET and the corresponding recipe value are absent. Unauthenticated clients can then reach recipe execution, input, and output surfaces and may trigger connected tools despite the operator explicitly enabling authentication. This issue is fixed in 4.6.58.
Referanslar
- https://github.com/MervinPraison/PraisonAI/commit/2f9677abb2ea68eab864ee8b6a828fd0141612e1
- https://github.com/MervinPraison/PraisonAI/releases/tag/v4.6.58
- https://github.com/MervinPraison/PraisonAI/security/advisories/GHSA-j4hj-7hfh-g2f4
- https://github.com/MervinPraison/PraisonAI/security/advisories/GHSA-j4hj-7hfh-g2f4
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.