Описание
PraisonAI is a multi-agent teams system. From version 2.5.6 to before version 4.6.34, PraisonAI ships a legacy Flask API server with authentication disabled by default. When that server is used, any caller that can reach it can access /agents and trigger the configured agents.yaml workflow through /chat without providing a token. This issue has been patched in version 4.6.34.
Ссылки
- ExploitVendor Advisory
- ExploitVendor Advisory
Уязвимые конфигурации
Конфигурация 1Версия от 2.5.6 (включая) до 4.6.34 (исключая)
cpe:2.3:a:praison:praisonai:*:*:*:*:*:*:*:*
EPSS
Процентиль: 98%
0.28571
Средний
7.3 High
CVSS3
Дефекты
CWE-306
Связанные уязвимости
CVSS3: 7.3
github
3 месяца назад
PraisonAI ships and generates a legacy API server with authentication disabled by default, allowing unauthenticated workflow execution
CVSS3: 7.3
fstec
3 месяца назад
Уязвимость фреймворка PraisonAI, связанная с отсутствием аутентификации для критичной функции, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
EPSS
Процентиль: 98%
0.28571
Средний
7.3 High
CVSS3
Дефекты
CWE-306