CVE-2026-47415
CVE-2026-47415 · praisonai-platform: Issue endpoints accept any issue_id without workspace ownership check, cross-workspace read/update/delete IDOR
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
PraisonAI Platform is the platform layer for the PraisonAI multi-agent teams system. Versions prior to 0.1.4 have an Insecure Direct Object Reference. The issue CRUD endpoints (`GET / PATCH / DELETE /workspaces/{workspace_id}/issues/{issue_id}`) gate access on `require_workspace_member(workspace_id)` only, then resolve `issue_id` through `IssueService.get(issue_id)` which is a primary-key lookup with no workspace constraint. A user who is a member of any workspace `W1` can read, modify, or delete issues that belong to a different workspace `W2`. PraisonAI Platform version 0.1.4 patches the issue.
CVSS 8.3 · Высокий · EPSS 0,4% · Есть исправление
- Опубликовано
- Обновлено
Стек: python
Затронутые продукты и версии
praisonai-platform
- Версии
- < 0.1.4: Затронуто
Нет опубликованного исправления
praisonai-platform PyPI
- Версии
- 0.1.0
- 0.1.1
- 0.1.2
- 0.1.3
- Затронутые диапазоны версий
- ECOSYSTEM: < 0.1.4
Обновитесь до 0.1.4