PT-2026-45489 · Unknown · Praisonai-Platform

CVE-2026-47418

·

Publicado

2026-06-01

·

Atualizado

2026-07-21

CVSS v3.1

8.1

Alta

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
Nome do Software Vulnerável e Versões Afetadas praisonai-platform (versões afetadas não especificadas)
Description Existe uma Referência Direta a Objeto Insegura (IDOR) nos endpoints CRUD de projetos. A aplicação valida se um usuário é membro de um workspace, mas falha em verificar se o projeto solicitado realmente pertence a esse workspace. Isso permite que um usuário autenticado, membro de qualquer workspace, leia, modifique, exclua ou visualize estatísticas de projetos pertencentes a outros workspaces, desde que possua o UUID do projeto.
API Endpoints:
  • 'GET /workspaces/{workspace id}/projects/{project id}'
  • 'PATCH /workspaces/{workspace id}/projects/{project id}'
  • 'DELETE /workspaces/{workspace id}/projects/{project id}'
  • 'GET /workspaces/{workspace id}/projects/{project id}/stats'
Vulnerable Parameters or Variables:
  • workspace id
  • project id
Function Names:
  • ProjectService.get()
  • ProjectService.update()
  • ProjectService.delete()
  • ProjectService.get stats()
Recommendations Modificar as consultas de busca de recursos no ProjectService para incluir o workspace id como um predicado, garantindo que os projetos estejam limitados ao workspace. Atualizar os manipuladores de rota em routes/projects.py para passar o workspace id para todas as chamadas de método do ProjectService.

Exploit

Correção

IDOR

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-47418
GHSA-943M-6WX2-RC2J
PYSEC-2026-2932

Produtos afetados

Praisonai-Platform