CVE-2026-57139

Nome do Software Vulnerável e Versões Afetadas PraisonAI versões 1.5.0 até 1.7.1

Description No sistema de equipes multi-agente, a função MCPServer.startHttp() em src/praisonai-ts/src/mcp/server.ts realiza o bind sem restrições de host e encaminha todas as requisições HTTP POST para a função handleRequest() sem autenticação ou autorização. Isso permite que qualquer cliente de rede com acesso à porta acesse os endpoints 'tools/list', 'tools/call', 'resources/read' ou 'prompts/get'. Consequentemente, manipuladores registrados podem ser executados usando credenciais do servidor e privilégios de processo, ou dados registrados sensíveis podem ser expostos.

Recommendations Atualizar para a versão 1.7.2.