PT-2026-57438 · Unknown · Praisonai-Platform

Rexpository · Publicado 2026-07-11 · Atualizado 2026-07-11 · CVE-2026-61442

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas PraisonAI Platform versões anteriores a 0.1.9

Description A plataforma falha ao aplicar a autorização de proprietário ou administrador nas rotas PATCH para projetos, problemas e agentes, exigindo apenas a função de membro do espaço de trabalho (workspace-member). Isso permite que um usuário com baixos privilégios modifique registros criados pelo proprietário do espaço de trabalho. Especificamente, para projetos, um membro pode reatribuir a variável lead id para seu próprio ID de usuário e, posteriormente, excluir o projeto, contornando a verificação de permissão de proprietário ou administrador normalmente exigida pela rota de exclusão.

Recommendations Atualizar para a versão 0.1.9 ou posterior.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-61442

GHSA-C78W-2Q4R-68R7

Produtos afetados

Praisonai-Platform

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/61xxx/CVE-2026-61442.json · Exploit
• https://github.com/MervinPraison/PraisonAI/security/advisories/GHSA-c78w-2q4r-68r7 · Aviso do Fabricante
• https://github.com/MervinPraison/PraisonAI/commit/846568c7a5d8ce9e71e56e4c213f027c04909753 · Correção
• https://osv.dev/vulnerability/CVE-2026-61442 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2075976714014900498 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2075977404808413252 · Publicação no Twitter
• https://twitter.com/UpwindMDR/status/2076013801690870230 · Publicação no Twitter
• https://vulncheck.com/advisories/praisonai-platform-before-authorization-bypass-via-patch · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-61442 · Nota de Segurança