PT-2026-31785 · Openai+1 · Openai Realtime Api+1
CVE-2026-40116
·
Publicado
2026-04-09
·
Atualizado
2026-07-13
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Name of the Vulnerable Software and Affected Versions
PraisonAI versões anteriores a 4.5.128
Description
PraisonAI é um sistema de equipes multiagentes. O endpoint WebSocket '/media-stream' no módulo de chamadas do PraisonAI aceita conexões de qualquer cliente sem autenticação ou validação de assinatura Twilio. Cada conexão abre uma sessão autenticada para a API Realtime da OpenAI usando a chave de API do servidor. Não há limites para conexões simultâneas, taxa de mensagens ou tamanho da mensagem, permitindo que um invasor não autenticado esgote os recursos do servidor e drene os créditos da API OpenAI da vítima.
Recommendations
Atualize para a versão 4.5.128 ou posterior.
Exploit
Correção
Allocation of Resources Without Limits
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Openai Realtime Api
Praisonai