PraisonAI: Fehlende Authentifizierung bei AgentTeam.launch-Endpunkten

Zusammenfassung

PraisonAI ist ein System für Multi-Agenten-Teams. In betroffenen Versionen registriert der AgentTeam.launch-Server sowie der Alias Agents HTTP-Endpunkte zum Auflisten von Agenten und zum Aufrufen von agent.chat, ohne jegliche Zugriffskontrolle. Ein netzwerkseitig erreichbarer Server erlaubt unauthentifizierten Clients, Agenten aufzulisten, Modellressourcen zu verbrauchen, auf verbundene private Kontextdaten zuzugreifen sowie Werkzeuge oder Workflow-Aktionen der Agenten auszulösen. Es sind weder Zugangsdaten noch eine Benutzerinteraktion erforderlich.

Betroffen

• praisonaiagents (Python-Paket) vor 1.6.59
• PraisonAI vor 4.6.59 (gemäss CVE-Eintrag)
• Das Feld zum betroffenen Bereich im GHSA nennt 4.6.57 und tiefer; die Versionszuordnung ist in den Quellen uneinheitlich.

Behoben in

• praisonaiagents 1.6.59 oder neuer
• PraisonAI v4.6.59 (Release-Tag, Fix-Commit b4270173d4123fb1ee8910588f0896668ee21b59)

Umgehung

Unbekannt. Der Hersteller nennt keine provisorische Massnahme.

• AgentTeam.launch-Server nicht über localhost hinaus exponieren.
• Port an der Firewall sperren und Fernzugriff hinter einem authentifizierenden Reverse Proxy oder VPN betreiben.
• Nicht benötigte Server stoppen und prüfen, auf welche Werkzeuge und Daten jeder Agent zugreifen kann.

Ausnutzung

• CISA SSVC: Exploitation PoC, automatisierbar ja, technische Auswirkung total.
• Das GHSA-Advisory enthält ein Reproduktionsskript für unauthentifizierten Zugriff; VulDB meldet keinen verfügbaren Exploit.
• Nicht im CISA-KEV-Katalog. Es sind keine beobachteten Angriffe gemeldet.

Unsere Empfehlung

• Die installierte praisonaiagents-Version prüfen (pip show praisonaiagents) sowie das Paket praisonai, falls verwendet.
• Auf praisonaiagents 1.6.59 oder neuer aktualisieren.
• Prüfen, ob Agenten-Server von ausserhalb des Firmennetzwerks oder aus nicht vertrauenswürdigen internen Netzwerken erreichbar sind, und den Zugriff sofort einschränken.
• Logs auf unerwartete Anfragen an die Endpunkte zum Auflisten und Aufrufen von Agenten überwachen.
• Werkzeuge und verbundene Daten prüfen, die exponierte Agenten nutzen können.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GHSA advisory GHSA-x8cv-xmq7-p8xp github.com
• Fix commit b4270173 github.com
• Release v4.6.59 github.com
• OSV PYSEC-2026-3537 osv.dev
• OpenCVE CVE-2026-57118 app.opencve.io
• VulDB 417190 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:12.