CVE-2026-62179

Estado: Pendiente de análisisMedia (6.5)—

PraisonAI es un sistema de equipos multiagente. En `praisonai-platform` antes de la versión 0.1.9, la eliminación de dependencias entre incidencias puede autorizarse contra el lado equivocado de una arista de dependencia. Un miembro del espacio de trabajo no puede eliminar una dependencia a través del endpoint de la incidencia creada por el propietario, pero sí puede eliminar la misma dependencia a través del endpoint de una incidencia relacionada propiedad del miembro, porque la ruta acepta cualquiera de los dos extremos y solo comprueba el permiso de eliminación frente a la incidencia de la URL seleccionada por quien realiza la llamada. La versión 0.1.9 corrige el problema.

Traducción automática del texto original de NVD (en inglés).

CVSS

Versión: 3.1
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
Puntuación base: 6.5

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días: 0.18%
Percentil entre todas las CVEs puntuadas: 6
Fecha de la puntuación: 15/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

ExplotaciónT1210 Exploitation of Remote Serviceslateral movement85 %
Impacto principalT1565.002 Transmitted Data Manipulationimpact75 %
Impacto secundarioT1078.001 Default Accountsstealth · persistence · privilege escalation · initial access70 %

Vulnerabilidad de autorización insuficiente (CWE-862/863) en API remota que requiere privilegios (PR:L). Permite manipulación no autorizada de dependencias; impacto de integridad (I:H). Red sin admin: T1210. Impactos: eliminación de datos críticos (T1565.002) y elevación de privilegios de cuenta (T1

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Vulnerability Scanning Threat Intelligence Program Privileged Account Management Password Policies Network Segmentation Multi-factor Authentication

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Praisonai — Praisonai Platform^AI

CWE

CWE-862, CWE-863

Referencias

https://github.com/MervinPraison/PraisonAI/security/advisories/GHSA-mxmx-rh57-jx58

JSON original (NVD)

Mostrar

{
  "id": "CVE-2026-62179",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-62179",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-07T15:27:02.031410Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 6.5,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 3.6,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "MervinPraison",
          "product": "praisonai-platform",
          "versions": [
            {
              "status": "affected",
              "version": "< 0.1.9"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-07T15:17:23.073",
  "references": [
    {
      "url": "https://github.com/MervinPraison/PraisonAI/security/advisories/GHSA-mxmx-rh57-jx58",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-862"
        },
        {
          "lang": "en",
          "value": "CWE-863"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "PraisonAI is a multi-agent teams system. In `praisonai-platform` prior to version 0.1.9, issue dependency deletion can be authorized against the wrong side of a dependency edge. A workspace member cannot delete a dependency through the owner-created issue endpoint, but can delete the same dependency through a member-owned related issue endpoint because the route accepts either endpoint and checks delete permission only against the caller-selected URL issue. Version 0.1.9 patches the issue."
    }
  ],
  "lastModified": "2026-10-07T17:16:56.193",
  "sourceIdentifier": "security-advisories@github.com"
}