FICHE CVE

CVE-2026-55526

Publiée le 2026-08-25 · Dernière modification le 2026-08-25

🇫🇷 EN BREF

Les systèmes multi-agents PraisonAI antérieurs à la version 1.6.58 sont vulnérables à la falsification de requête côté serveur (SSRF). Un utilisateur authentifié peut contourner les restrictions de nom d'hôte pour forcer le serveur à effectuer des requêtes HTTP vers des adresses réseau internes, exposant potentiellement des données privées ou des services internes. Cette attaque est facile à exécuter via le réseau et ne nécessite qu'un accès avec un compte disposant de privilèges faibles.

CVSS 3.18.5 ÉLEVÉE

Type de faiblesse

CWE-350 Falsification de requête côté serveur (SSRF) · CWE-918

Publiée2026-08-25

Dernière modification2026-08-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

PraisonAI is a multi-agent teams system. Prior to praisonaiagents 1.6.58, spider_tools._host_is_blocked() does not resolve ordinary hostnames before scrape_page fetches them. A hostname such as 127.0.0.1.nip.io passes validation and resolves to loopback, permitting internal HTTP access. The fix uses socket.getaddrinfo and fails closed on DNS errors. This issue is fixed in version 1.6.58.