PraisonAI LinearBot: Fehlende Authentifizierung von Linear-Webhooks
Zusammenfassung
PraisonAI LinearBot akzeptiert unsignierte Linear-Webhook-Anfragen, wenn die Umgebungsvariable LINEAR_WEBHOOK_SECRET nicht gesetzt ist. Der Webhook-Listener bindet an 0.0.0.0, daher kann jeder Netzwerkteilnehmer, der ihn erreicht, gefälschte AgentSession-Ereignisse senden. Dadurch wird der konfigurierte Agent aufgerufen, und dieser kann Antworten unter dem Bot-Token in Linear veröffentlichen. Voraussetzung ist ein eingesetzter LinearBot ohne Webhook-Secret und ein erreichbarer Listener.
Betroffen
- PraisonAI (pip-Paket praisonai) von 4.6.56 bis einschliesslich 4.6.58
- Komponente: LinearBot (praisonai bot linear)
Behoben in
- Behoben in PraisonAI 4.6.59 und neuer
Umgehung
- LINEAR_WEBHOOK_SECRET auf das Linear-Webhook-Signing-Secret setzen, damit Signaturen geprüft werden
- Zugriff auf den Webhook-Port mit einer Firewall oder einer Allowlist im Reverse Proxy einschränken
- Unbekannt: Ausser Upgrade oder Setzen des Secrets wurde kein offizieller Workaround veröffentlicht
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
- Nicht im CISA-KEV-Katalog aufgeführt
- CISA SSVC: Exploitation none, Automatable yes
- EPSS 0.00188 (sehr niedrig)
- Der Hersteller verweist auf ein Offline-Proof-of-Concept-Skript, das Linear nicht kontaktiert; dessen Inhalt wurde nicht verifiziert
Unsere Empfehlung
- Prüfen, ob PraisonAI LinearBot eingesetzt wird (praisonai bot linear)
- Auf PraisonAI 4.6.59 oder neuer aktualisieren
- Bis zum Update LINEAR_WEBHOOK_SECRET setzen und den Webhook-Port nicht gegenüber nicht vertrauenswürdigen Netzen exponieren
- Agent-Aktivitäten und Linear-Kommentare auf unerwartete Einträge prüfen
- Andere PraisonAI-Bot-Integrationen auf ähnliche Webhook-Probleme prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-fc26-m9pf-v56q github.com
- OSV: GHSA-fc26-m9pf-v56q osv.dev
- NVD mirror on Vulners: CVE-2026-56837 vulners.com
- VulDB 425677 vuldb.com
- EUVD-2026-108878 on Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:12.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.