p PatchFirst

CVE-2026-57134

CVE-2026-57134 · PraisonAI MCPSecurity Basic/OAuth authentication policies accept invalid credentials without validation

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

PraisonAI is a multi-agent teams system. From 1.5.1 until 1.7.2, MCPSecurity.evaluatePolicy() in src/praisonai-ts/src/mcp/security.ts invokes the configured credential validator only when AuthMethod is api-key or bearer. Basic and OAuth policies accept any non-empty Authorization header without calling auth.validate(), then return an authenticated result, allowing callers with invalid credentials to access MCP tools and resources protected by those policies. This issue is fixed in version 1.7.2.

CVSS 8.2 · Élevée · EPSS 0,4% · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • praisonai

    Versions du logiciel
    • >= 1.5.1, < 1.7.2: Concernée

    Aucun correctif publié

  • praisonai npm

    Plages de versions concernées
    • SEMVER: ≥ 1.5.1, < 1.7.2

    Mettez à jour vers 1.7.2

Sources originales

Vérifiez votre serveur →