CVE-2026-34952
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
PraisonAI to system wieloagentowy. Przed wersją 4.5.97 serwer bramy PraisonAI akceptuje połączenia WebSocket na /ws i udostępnia topologię agentów na /info bez uwierzytelniania. Każdy klient sieciowy może się połączyć, wyliczyć zarejestrowanych agentów i wysyłać dowolne wiadomości do agentów i ich zestawów narzędzi.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do wszystkich agentów i ich narzędzi, co może prowadzić do nieautoryzowanych działań i wycieku danych.
Rekomendacja
Zaleca się natychmiastową aktualizację PraisonAI do wersji 4.5.97 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
PraisonAI is a multi-agent teams system. Prior to version 4.5.97, the PraisonAI Gateway server accepts WebSocket connections at /ws and serves agent topology at /info with no authentication. Any network client can connect, enumerate registered agents, and send arbitrary messages to agents and their tool sets. This issue has been patched in version 4.5.97.