CVE-2026-47416
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
PraisonAI Platform w wersjach przed 0.1.4 zawiera podatność na eskalację uprawnień w endpointcie PATCH /workspaces/{workspace_id}/members/{user_id}. Brakuje weryfikacji uprawnień osoby wywołującej, co pozwala użytkownikowi z rolą 'member' na zmianę roli dowolnego członka, w tym własnej, na 'owner'.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do zarządzania przestrzeniami roboczymi, przejąć kontrolę nad systemem i wykraść dane.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 0.1.4 lub nowszej, która usuwa tę podatność.
Oryginalny opis (angielski, źródło NVD)
PraisonAI Platform is the platform layer for the PraisonAI multi-agent teams system. Versions prior to 0.1.4 are vulnerable to vertical privilege escalation. The `PATCH /workspaces/{workspace_id}/members/{user_id}` endpoint is gated by `require_workspace_member(workspace_id)`, which defaults to `min_role="member"` and is never overridden by the route. The handler then calls `MemberService.update_role(workspace_id, user_id, body.role)` which sets the target member's role to whatever the request body specifies, with no check that the caller has owner-or-admin privilege, no check that the new role is not higher than the caller's own, and no check that the caller is not silently promoting themselves. PraisonAI Platform version 0.1.4 patches the issue.