CVE-2026-47418

PraisonAI Platform, PraisonAI çoxagentli komandalar sisteminin platforma təbəqəsidir. 0.1.4 versiyasından əvvəlki versiyalarda Təhlükəsiz Olmayan Birbaşa Obyektə İstinad (Insecure Direct Object Reference) mövcuddur. Layihənin CRUD son nöqtələri (`GET / PATCH / DELETE /workspaces/{workspace_id}/projects/{project_id}` və `GET .../{project_id}/stats`) girişi yalnız `require_workspace_member(workspace_id)` vasitəsilə məhdudlaşdırır, daha sonra isə `project_id`-ni `ProjectService.get(project_id)` / `update(project_id, ...)` / `delete(project_id)` / `get_stats(project_id)` vasitəsilə müəyyən edir. Bu çağırışların heç biri axtarışı məhdudlaşdırmaq üçün `workspace_id`-ni ötürmür. Hər hansı bir `W1` iş sahəsinin üzvü olan istifadəçi, fərqli bir `W2` iş sahəsinə aid olan layihələri oxuya, dəyişdirə, silə və ya onların statistikasına baxa bilər. PraisonAI Platform versiya 0.1.4 bu problemi aradan qaldırır.