PT-2026-45065 · Unknown · Praisonai-Platform

CVE-2026-47414

·

Publicado

2026-05-29

·

Atualizado

2026-07-21

CVSS v3.1

7.6

Alta

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:L
Nome do Software Vulnerável e Versões Afetadas praisonai-platform (versões afetadas não especificadas)
Description Existe uma Referência Direta a Objeto Insegura (IDOR) na funcionalidade de gerenciamento de etiquetas. A aplicação falha ao verificar se a etiqueta ou a issue solicitada pertence ao workspace associado ao usuário autenticado, baseando-se apenas em uma verificação de membro para o ID do workspace fornecido na URL. Isso permite que um usuário autenticado manipule etiquetas e associações de issues entre diferentes workspaces em uma implantação multi-tenant.
API Endpoints:
  • 'PATCH /workspaces/{workspace id}/labels/{label id}'
  • 'DELETE /workspaces/{workspace id}/labels/{label id}'
  • 'POST /workspaces/{workspace id}/issues/{issue id}/labels/{label id}'
  • 'DELETE /workspaces/{workspace id}/issues/{issue id}/labels/{label id}'
  • 'GET /workspaces/{workspace id}/issues/{issue id}/labels'
Vulnerable Parameters or Variables:
  • workspace id
  • label id
  • issue id
Function Names:
  • get()
  • update()
  • delete()
  • add to issue()
  • remove from issue()
  • list for issue()
Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso aos endpoints de API afetados para minimizar o risco de manipulação de dados entre workspaces.

Exploit

IDOR

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-47414
GHSA-5JX9-W35F-VP65
PYSEC-2026-2929

Produtos afetados

Praisonai-Platform