PT-2026-45484 · Unknown · Praisonai-Platform
CVE-2026-47411
·
Publicado
2026-06-01
·
Atualizado
2026-07-21
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
praisonai-platform (versões afetadas não especificadas)
Description
Existe uma falha de bypass de autorização que permite que usuários com privilégios de membro manipulem metadados e configurações do workspace. O problema ocorre porque o endpoint
PATCH /workspaces/{workspace id} exige apenas que o usuário seja um membro do workspace, falhando em verificar se o usuário possui permissões de proprietário (owner).Isso permite que qualquer membro modifique o
name, description e o blob JSON settings de um workspace. Como o campo settings é um objeto JSON de forma livre, ele pode ser usado como um primitivo de injeção de configuração. Dependendo de como o código subsequente processa essas configurações, um invasor poderia potencialmente alterar flags de recursos, redirecionar URLs de webhook, alterar chaves de provedores de LLM para configurações compartilhadas ou desativar logs de auditoria.Detalhes técnicos:
- Endpoint da API:
PATCH /workspaces/{workspace id} - Parâmetros Vulneráveis:
name,descriptionesettings - Função Vulnerável:
update workspace()
Recommendations
- Atualize a função
update workspace()para exigir permissões de nível de proprietário em vez de permissões de nível de membro. - Implemente uma lista de permissões (allowlist) para validar as chaves permitidas dentro do parâmetro
settingspara evitar a injeção arbitrária de configurações. - Restrinja o acesso ao endpoint
PATCH /workspaces/{workspace id}apenas a proprietários autorizados.
Exploit
Correção
Missing Authorization
Improper Privilege Management
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Praisonai-Platform