CVE-2026-57147
Təsvir
PraisonAI çoxagentli komandalar sistemidir. 0.1.6 versiyasından əvvəl, PLATFORM_JWT_SECRET təyin edilmədikdə praisonai_platform/services/auth_service.py faylı JWT_SECRET dəyişəninə ictimai "dev-secret-change-me" dəyərini mənimsədir və PLATFORM_ENV həmçinin təyin edilmədikdə, həmin tənzimləmə standart olaraq "dev" olduğu üçün istehsalat mühafizəsi işləmir. Uzaqdakı autentifikasiya olunmamış hücumçu istənilən sub və email ilə HS256 tokeni yarada bilər və platformanın AuthService._verify_token() funksiyası ilə get_current_user asılılığı qorunan API marşrutları üçün saxtalaşdırılmış kimliyi qəbul edir. Bu zəiflik praisonai-platform 0.1.6 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- praisonai-platform0.1.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| praisonai-platformPyPI | v < 0.1.6 | 0.1.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.