ورود / ثبت‌نام

جزئیات آسیب‌پذیری

CVE-2026-57127

MervinPraison PraisonAI

praisonai: recipe serve auth middleware silently disables itself when no secret is set

CVSS 3.1
9.8بحرانی

شرح رسمی (انگلیسی)

PraisonAI is a multi-agent teams system. Prior to 4.6.58, recipe serve installs APIKeyAuthMiddleware or JWTAuthMiddleware when an operator selects api-key or JWT authentication, but each middleware forwards requests when PRAISONAI_API_KEY or PRAISONAI_JWT_SECRET and the corresponding recipe value are absent. Unauthenticated clients can then reach recipe execution, input, and output surfaces and may trigger connected tools despite the operator explicitly enabling authentication. This issue is fixed in 4.6.58.

امتیازهای CVSS

امتیازنسخهمنبعبردار
9.8بحرانی 3.1 CVEProject cvelistV5 (CNA) (GitHub_M) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

محصولات آسیب‌پذیر

فروشندهمحصولنسخه‌هامنبع
MervinPraison PraisonAI < 4.6.48 CVEProject cvelistV5 (CNA)

منابع و راهنماها

۳
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار
۱۴۰۵/۰۶/۲۳
آخرین به‌روزرسانی
۱۴۰۵/۰۶/۲۳
وضعیت
منتشرشده
صادرکننده (CNA)
GitHub_M

پیش‌بینی بهره‌برداری (EPSS)

۰٫۹٪
احتمال بهره‌برداری در ۳۰ روز
۵۹٫۸٪
صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی
بله
وضعیت بهره‌برداری
اثبات مفهوم
اثر فنی
کامل

ضعف‌ها (CWE)

  • CWE-306
    Missing Authentication for Critical Function
  • CWE-1188
    Insecure Default Initialization of Resource