- Son 7 gün
- CWE-200
- CWE-306
CVE-2026-57146
PraisonAI'de eksik kimlik doğrulama düzeltmesi nedeniyle serve komutu varsayılan olarak yetkisiz kalıyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
PraisonAI, çok ajanlı ekip sistemi olan bir yazılımdır. 4.5.115 sürümünden 4.6.61 sürümünden önceki sürümlere kadar, yayımlanan A2U danışmanı GHSA-f292-66h9-fpmf, kimlik doğrulaması olmayan A2U olay akışının praisonai 4.5.115 sürümünde düzeltildiğini belirtiyor. Ancak güncel ana dal, operatör belgelenmiş CLI giriş noktasını başlattığında aynı A2U abonelik ve olay yollarını kimlik doğrulaması olmadan hâlâ açığa çıkarıyor. Mevcut CLI sarmalayıcısı --api-key seçeneğini sunmuyor, yaygın API anahtarı ara katmanını kurmuyor ve A2U için belirteç üretmiyor. Bunun yerine create_a2u_routes(app) işlevini doğrudan çağırıyor. Bu yardımcı işlev, yalnızca A2U_AUTH_TOKEN değişkeni zaten mevcutsa kimlik doğrulamasını zorunlu kılıyor; değişken eksikse _authenticate_request None döndürüyor ve kimlik doğrulamasını devre dışı kabul ediyor. Bu sorun 4.6.61 sürümünde yamalanmıştır.
Kaynaktaki açıklama (İngilizce)
PraisonAI is a multi-agent teams system. From version 4.5.115 to before version 4.6.61, the published A2U advisory GHSA-f292-66h9-fpmf says unauthenticated A2U event streaming was fixed in praisonai 4.5.115. Current head still exposes the same A2U subscription and event routes without authentication when the operator starts the documented CLI entrypoint. The current CLI wrapper does not expose --api-key, does not install the common API-key middleware, and does not generate a token for A2U. It calls create_a2u_routes(app) directly. That helper only enforces auth if A2U_AUTH_TOKEN is already present; if the variable is missing, _authenticate_request() returns None and treats auth as disabled. This issue has been patched in version 4.6.61.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| MervinPraison PraisonAI | Sürüm belirtilmemiş | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.