PT-2026-61786
CVE-2026-57132
·
تاريخ النشر
2026-06-18
·
تاريخ التحديث
2026-09-16
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
PraisonAI (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يؤدي تعيين المتغير
PRAISONAI CALL AUTH إلى القيمة disabled إلى تجاوز جميع إجراءات المصادقة الخاصة بنقطة النهاية /api/v1/agents/{id}/invoke تمامًا. يحدث هذا لأن الدالة verify token() تعود فورًا دون إجراء أي فحوصات عندما يكون هذا التكوين نشطًا. يُقترح هذا التجاوز ضمن رسائل الخطأ الخاصة بالتطبيق نفسه، مما يزيد من احتمالية استخدامه في تكوينات Docker و Compose في بيئات الإنتاج. ونتيجة لذلك، يمكن تشغيل أي وكيل مسجل على الخادم دون بيانات اعتماد، مما قد يسمح بتنفيذ إجراءات تعسفية بناءً على الأدوات المُكوّنة للوكيل.التوصيات
تجنب تعيين المتغير
PRAISONAI CALL AUTH على disabled في بيئات الإنتاج.تأكد من تمكين المصادقة عن طريق تكوين
CALL SERVER TOKEN صالح.في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾