Descripción
PraisonAI es un sistema de equipos multiagente. Desde la versión 4.2.1 y antes de la versión 4.6.59, la superficie de despliegue FastAPI de AgentOS de PraisonAI sigue sin autenticación en la rama main actual y en las versiones posteriores a la versión corregida publicada para GHSA-pm96-6xpr-978x / CVE-2026-40151. La ruta de chat llama directamente a agent.chat(request.message). Tanto las solicitudes sin autenticación como las que usan un token bearer incorrecto ejecutan el agente desplegado. Esto va más allá de una divulgación pasiva de metadatos. En cualquier despliegue en que AgentOS envuelva agentes con herramientas, contexto privado, memoria, integraciones de API o llamadas a modelos con costo, un cliente no autenticado que tenga acceso puede controlar esos agentes. Este problema fue corregido en la versión 4.6.59.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- PraisonAI Afectadas: >= 4.2.1, < 4.6.59
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/MervinPraison/PraisonAI/security/advisories/GHSA-892r-p3jq…
Ver el texto original en inglés (CVE.org)
PraisonAI: AgentOS remains unauthenticated after GHSA-pm96 patched version and allows remote agent invocation
PraisonAI is a multi-agent teams system. From version 4.2.1 to before version 4.6.59, PraisonAI's AgentOS FastAPI deployment surface remains unauthenticated in current main and in releases after the published patched version for GHSA-pm96-6xpr-978x / CVE-2026-40151. The chat route directly calls agent.chat(request.message). No-auth and wrong-bearer requests both execute the deployed agent. This is broader than passive metadata disclosure. In any deployment where AgentOS wraps agents with tools, private context, memory, API integrations, or cost-bearing model calls, an unauthenticated reachable client can drive those agents. This issue has been patched in version 4.6.59.