CVE-2026-47405

PraisonAI Platform, PraisonAI çoklu ajan ekipleri sisteminin platform katmanıdır. 0.1.4 öncesindeki sürümlerde, kimliği doğrulanmış düşük yetkili herhangi bir çalışma alanı üyesinin kendi rolünü `owner` seviyesine yükseltmesine izin veren hatalı bir çalışma alanı yetkilendirme kontrolü bulunmaktadır. Sorun, ayrıcalıklı çalışma alanı yönetim rotalarının, `admin` veya `owner` gereksinimi olmadan paylaşılan `require_workspace_member(...)` bağımlılığını kullanmasından kaynaklanmaktadır. Bağımlılık varsayılan olarak `min_role="member"` değerini kullandığından, yönetici düzeyinde olması gereken rotalara sıradan çalışma alanı üyeleri erişebilmektedir. Sonuç olarak, normal bir çalışma alanı üyesi kendi hesabını `member` rolünden `owner` rolüne yükseltebilir; rastgele kullanıcıları `owner` veya `admin` olarak ekleyebilir; diğer üyelerin rollerini değiştirebilir; meşru sahipleri veya üyeleri kaldırabilir; çalışma alanı üyeliğini tamamen ele geçirebilir ve/veya yetki yükseltme sonrası yıkıcı çalışma alanı işlemleri gerçekleştirebilir. Bu durum, bir hatalı erişim kontrolü / dikey yetki yükseltme zafiyetidir. PraisonAI Platform sürüm 0.1.4 bu sorunu gidermektedir.