CVE-2026-62175

Nome do Software Vulnerável e Versões Afetadas praisonai versão 4.6.63

Description A Async Jobs API não impõe autenticação por padrão, pois o middleware de chave de API é ativado apenas quando a variável de ambiente PRAISONAI JOBS API KEY está configurada. Isso permite acesso não autenticado ao endpoint POST /api/v1/runs, onde um invasor pode fornecer uma webhook url maliciosa através do parâmetro webhook url. Embora exista um validador na função validate webhook url() para bloquear endereços IP privados, ele é suscetível a uma falha de DNS-rebinding do tipo Time-of-Check to Time-of-Use (TOCTOU). O validador resolve o nome do host no momento da requisição, mas a função send webhook() resolve o nome do host novamente durante a conexão real usando httpx, permitindo que as requisições ignorem o filtro e alcancem serviços internos. Isso resulta em um Server-Side Request Forgery (SSRF) cego e não autenticado.

Recommendations Para a versão 4.6.63, autentique a Jobs API por padrão, gerando automaticamente um token ou impedindo a execução ao vincular a endereços que não sejam de loopback. Para a versão 4.6.63, modifique o tratamento da webhook url para resolver o nome do host apenas uma vez, rejeitar endereços privados, de loopback, CGNAT ou de metadados, e então fixar a conexão nesse IP validado, desativando redirecionamentos.