CVE-2026-61435

Nome do Software Vulnerável e Versões Afetadas PraisonAI versões anteriores a 4.6.78

Description Existe uma falha de bypass de autenticação nos endpoints de invocação de agentes quando a variável PRAISONAI CALL AUTH está configurada como disabled. O sistema tenta restringir este modo de autenticação desativada a vinculações de localhost, derivando o host de request.url.hostname, que depende do cabeçalho HTTP Host controlado pelo cliente. Um invasor remoto não autenticado pode falsificar o cabeçalho 'Host: 127.0.0.1' para ignorar essa restrição. Isso permite que o invasor liste agentes através do endpoint 'GET /api/v1/agents' e os invoque através do endpoint 'POST /api/v1/agents/{agent id}/invoke' sem autenticação.

Recommendations Atualize para a versão 4.6.78 ou posterior. Evite configurar PRAISONAI CALL AUTH=disabled se o serviço estiver acessível através de uma rede.