CVE-2026-47418

PraisonAI Platform, PraisonAI çoklu ajan ekipleri sisteminin platform katmanıdır. 0.1.4 öncesindeki sürümlerde Güvensiz Doğrudan Nesne Referansı (IDOR) bulunmaktadır. Proje CRUD uç noktaları (`GET / PATCH / DELETE /workspaces/{workspace_id}/projects/{project_id}` ve `GET .../{project_id}/stats`), erişimi yalnızca `require_workspace_member(workspace_id)` ile kısıtlamakta, ardından `project_id` değerini `ProjectService.get(project_id)` / `update(project_id, ...)` / `delete(project_id)` / `get_stats(project_id)` aracılığıyla çözümlemektedir. Bu çağrıların hiçbiri, aramayı sınırlandırmak için `workspace_id` bilgisini iletmemektedir. Herhangi bir `W1` çalışma alanının üyesi olan bir kullanıcı, farklı bir `W2` çalışma alanına ait projeleri okuyabilir, değiştirebilir, silebilir veya istatistiklerini görüntüleyebilir. PraisonAI Platform sürüm 0.1.4 bu sorunu gidermektedir.