p PatchFirst

CVE-2026-57116

CVE-2026-57116 · PraisonAI: AgentOS remains unauthenticated after GHSA-pm96 patched version and allows remote agent invocation

This page contains facts from public vulnerability sources. Check the original advisory before updating.

PraisonAI is a multi-agent teams system. From version 4.2.1 to before version 4.6.59, PraisonAI's AgentOS FastAPI deployment surface remains unauthenticated in current main and in releases after the published patched version for GHSA-pm96-6xpr-978x / CVE-2026-40151. The chat route directly calls agent.chat(request.message). No-auth and wrong-bearer requests both execute the deployed agent. This is broader than passive metadata disclosure. In any deployment where AgentOS wraps agents with tools, private context, memory, API integrations, or cost-bearing model calls, an unauthenticated reachable client can drive those agents. This issue has been patched in version 4.6.59.

CVSS 9.8 · Critical · EPSS 0.5% · Fix available

Published
Updated

Stack: python

Affected products and versions

  • praisonai

    Versions
    • >= 4.2.1, < 4.6.59: Affected

    No fix published

  • praisonai PyPI

    Versions
    • 4.2.1
    • 4.2.2
    • 4.2.3
    • 4.2.4
    • 4.3.0
    • 4.3.1
    • 4.4.0
    • 4.4.10
    • 4.4.11
    • 4.4.12
    • 4.4.2
    • 4.4.3
    • 4.4.4
    • 4.4.5
    • 4.4.6
    • 4.4.7
    • 4.4.8
    • 4.4.9
    • 4.5.0
    • 4.5.1
    • 4.5.10
    • 4.5.100
    • 4.5.101
    • 4.5.102
    • 4.5.103
    • 4.5.104
    • 4.5.105
    • 4.5.106
    • 4.5.107
    • 4.5.108
    • 4.5.109
    • 4.5.11
    • 4.5.110
    • 4.5.111
    • 4.5.112
    • 4.5.113
    • 4.5.114
    • 4.5.115
    • 4.5.117
    • 4.5.118
    • 4.5.119
    • 4.5.12
    • 4.5.120
    • 4.5.121
    • 4.5.122
    • 4.5.123
    • 4.5.124
    • 4.5.125
    • 4.5.126
    • 4.5.127
    • 4.5.128
    • 4.5.129
    • 4.5.13
    • 4.5.130
    • 4.5.131
    • 4.5.132
    • 4.5.133
    • 4.5.134
    • 4.5.135
    • 4.5.136
    • 4.5.137
    • 4.5.139
    • 4.5.14
    • 4.5.140
    • 4.5.143
    • 4.5.144
    • 4.5.145
    • 4.5.149
    • 4.5.15
    • 4.5.16
    • 4.5.18
    • 4.5.19
    • 4.5.2
    • 4.5.20
    • 4.5.21
    • 4.5.22
    • 4.5.23
    • 4.5.24
    • 4.5.25
    • 4.5.26
    • 4.5.27
    • 4.5.28
    • 4.5.29
    • 4.5.3
    • 4.5.30
    • 4.5.31
    • 4.5.32
    • 4.5.33
    • 4.5.34
    • 4.5.35
    • 4.5.36
    • 4.5.37
    • 4.5.38
    • 4.5.39
    • 4.5.40
    • 4.5.41
    • 4.5.42
    • 4.5.43
    • 4.5.44
    • 4.5.45
    • 4.5.46
    • 4.5.48
    • 4.5.49
    • 4.5.5
    • 4.5.51
    • 4.5.52
    • 4.5.54
    • 4.5.55
    • 4.5.56
    • 4.5.57
    • 4.5.58
    • 4.5.59
    • 4.5.6
    • 4.5.60
    • 4.5.62
    • 4.5.63
    • 4.5.64
    • 4.5.65
    • 4.5.67
    • 4.5.68
    • 4.5.69
    • 4.5.7
    • 4.5.70
    • 4.5.71
    • 4.5.72
    • 4.5.73
    • 4.5.74
    • 4.5.76
    • 4.5.77
    • 4.5.78
    • 4.5.79
    • 4.5.8
    • 4.5.80
    • 4.5.81
    • 4.5.82
    • 4.5.83
    • 4.5.85
    • 4.5.87
    • 4.5.88
    • 4.5.89
    • 4.5.9
    • 4.5.90
    • 4.5.93
    • 4.5.94
    • 4.5.95
    • 4.5.96
    • 4.5.97
    • 4.5.98
    • 4.6.10
    • 4.6.11
    • 4.6.12
    • 4.6.13
    • 4.6.14
    • 4.6.15
    • 4.6.16
    • 4.6.18
    • 4.6.19
    • 4.6.20
    • 4.6.21
    • 4.6.22
    • 4.6.23
    • 4.6.24
    • 4.6.25
    • 4.6.26
    • 4.6.27
    • 4.6.28
    • 4.6.29
    • 4.6.30
    • 4.6.31
    • 4.6.32
    • 4.6.33
    • 4.6.34
    • 4.6.35
    • 4.6.36
    • 4.6.37
    • 4.6.38
    • 4.6.39
    • 4.6.40
    • 4.6.41
    • 4.6.42
    • 4.6.43
    • 4.6.44
    • 4.6.45
    • 4.6.46
    • 4.6.47
    • 4.6.48
    • 4.6.50
    • 4.6.51
    • 4.6.52
    • 4.6.53
    • 4.6.54
    • 4.6.55
    • 4.6.56
    • 4.6.57
    • 4.6.58
    • 4.6.9
    Affected ranges
    • ECOSYSTEM: ≥ 4.2.1, < 4.6.59

    Update to 4.6.59

Original sources

Check your server →