CVE-2026-47406

PraisonAI Platform, PraisonAI çoklu ajan ekipleri sisteminin platform katmanıdır. 0.1.4 öncesindeki sürümlerde Güvensiz Doğrudan Nesne Referansı (IDOR) bulunmaktadır. Bağımlılık uç noktaları (`POST/GET /workspaces/{workspace_id}/issues/{issue_id}/dependencies` ve `DELETE .../dependencies/{dep_id}`), erişimi yalnızca `require_workspace_member(workspace_id)` üzerinden denetlemekte, ardından URL veya gövde tarafından sağlanan issue ve bağımlılık kimliklerini, bunların üyelik kontrolü yapılan çalışma alanına ait olup olmadığını doğrulamadan `DependencyService` çağrılarına iletmektedir. En kritik nokta; `create_dependency`, istek gövdesinden gelen `body.depends_on_issue_id` değerini kabul etmekte ve bu kimlik hiçbir kontrolden geçmemektedir; bu durum bir saldırganın veritabanındaki herhangi iki issue arasında "engeller" veya "ilişkili" bağlantısı oluşturmasına olanak tanımaktadır. PraisonAI Platform sürüm 0.1.4 bu sorunu gidermektedir.