- Son 7 gün
- CWE-287
- CWE-306
- CWE-862
CVE-2026-56836
PraisonAI recipe serve komutu localhost dışı kimlik doğrulama korumasını atlatıyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
PraisonAI çoklu ajan ekip sistemidir. 4.5.112 sürümünden 4.6.59 sürümünün öncesine kadar, PraisonAI'nin kurulu konsol giriş noktası Typer öncelikli çalışmaktadır. Mevcut sürümlerde recipe komutu Typer uygulamasına kaydedilmiş durumdadır ve praisonai recipe serve komutu, src/praisonai/praisonai/cli/commands/recipe.py dosyasındaki kullanımdan kaldırılmış Typer komutuna yönlendirilmektedir. Bu Typer komutu, Recipe HTTP sunucusunu kimlik doğrulaması olmadan localhost dışı bir arayüzde başlatabilmektedir. Komut bir kullanımdan kaldırma uyarısı yazdırır ve ardından sunucuyu başlatır. config.auth tanımlı olmadığında create_app API anahtarı veya JWT ara katmanını eklemez. Bu durumda kimlik doğrulaması yapılmamış istekler recipe API'sine ve etkinleştirildiğinde /admin/reload uç noktasına ulaşabilir. Bu sorun 4.6.59 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
PraisonAI is a multi-agent teams system. From version 4.5.112 to before version 4.6.59, PraisonAI's installed console entrypoint is Typer-first. In current releases, the recipe command is registered in the Typer app and praisonai recipe serve dispatches to the deprecated Typer command in src/praisonai/praisonai/cli/commands/recipe.py. That Typer command can start the Recipe HTTP server on a non-localhost interface with no authentication. It prints a deprecation warning, and then launches the server. Because config.auth is absent, create_app() does not attach the API-key or JWT middleware. Unauthenticated requests can then reach the recipe API and, when enabled, /admin/reload. This issue has been patched in version 4.6.59.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| MervinPraison PraisonAI | Sürüm belirtilmemiş | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.