CVE-2026-56836
Təsvir
PraisonAI çoxagentli komandalar sistemidir. Versiya 4.5.112-dən versiya 4.6.59-a qədər olan versiyalarda PraisonAI-ın quraşdırılmış konsol giriş nöqtəsi Typer-first strukturundadır. Cari buraxılışlarda recipe əmri Typer tətbiqində qeydiyyata alınmışdır və praisonai recipe serve əmri src/praisonai/praisonai/cli/commands/recipe.py faylındakı köhnəlmiş Typer əmrinə yönləndirilir. Həmin Typer əmri Recipe HTTP serverini autentifikasiya olmadan localhost olmayan interfeysdə başlada bilər. O, köhnəlmə xəbərdarlığını çap edir və sonra serveri işə salır. config.auth mövcud olmadığı üçün create_app() funksiyası API-key və ya JWT middleware-ni əlavə etmir. Beləliklə, autentifikasiya olunmamış sorğular recipe API-na və aktiv edildikdə /admin/reload ünvanına çata bilər. Bu problem 4.6.59 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- praisonai4.6.59 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| praisonaiPyPI | 4.5.112 ≤ v < 4.6.59 | 4.6.59 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.