Kurzfassung

In PraisonAI wurden mit CVE-2026-57123, CVE-2026-57124, CVE-2026-57125 sowie den neu hinzugekommenen CVE-2026-57127, CVE-2026-57131 und CVE-2026-57145 inzwischen sechs kritische beziehungsweise hochkritische Schwachstellen bekannt. Fünf davon sind mit CVSS 9.8 als kritisch eingestuft; CVE-2026-57145 erhält einen CVSS-Basiswert von 9.1 und betrifft einen netzwerkbasiert ausnutzbaren Pfad zu unautorisiertem Datei-Lese- und Schreibzugriff ohne Anmeldung. Betroffen sind praisonaiagents vor Version 1.6.59 sowie praisonai vor den Versionen 4.6.58, 4.6.59 beziehungsweise 4.6.62; unter bestimmten Bedingungen sind Angriffe ohne Anmeldung und ohne Nutzerinteraktion über das Netzwerk möglich. Für Unternehmen relevant wird das vor allem dort, wo AI-Agenten auf Servern, Entwickler-Workstations oder in intern erreichbaren Automatisierungsumgebungen laufen.

Was ist passiert?

PraisonAI ist ein System für Multi-Agenten-Workflows. Die jetzt bekannt gewordenen Lücken betreffen mehrere unterschiedliche Angriffswege, die sich in der Praxis besonders dann auswirken, wenn die Software mit weitreichenden Werkzeugen wie Shell-Zugriff, Dateizugriff oder Code-Ausführung betrieben wird.

CVE-2026-57123 betrifft den MCP-Server-Betrieb in praisonaiagents. Bestimmte Funktionen binden den Dienst an 0.0.0.0 und stellen Endpunkte bereit, ohne vorhandene Schutzmechanismen für Authentifizierung, Herkunftsprüfung oder DNS-Rebinding-Abwehr anzuwenden. Dadurch kann jeder erreichbare Client registrierte Werkzeuge auflisten und aufrufen.

Neu hinzugekommen ist CVE-2026-57124, die die Standard-UI-Host-Anwendungen von praisonai vor Version 4.6.59 betrifft. Der Endpunkt POST /api/mcp/connect ist demnach ohne zwingende Authentifizierung erreichbar und akzeptiert vom Aufrufer kontrollierte Werte für Befehl und Argumente, die von PraisonAIUI an StdioMCPClient zum Start eines lokalen Prozesses übergeben werden. Weil die UI-Kommandos standardmäßig an 0.0.0.0 binden, kann ein erreichbarer, nicht authentisierter Client Befehle im Kontext des UI-Dienstkontos ausführen, selbst wenn der eigentliche MCP-Handshake später fehlschlägt.

CVE-2026-57125 betrifft die Jobs-API von praisonai und praisonaiagents. Eine nicht authentisierte POST-Anfrage an /api/v1/runs kann manipulierte Parameter einschleusen, sodass Prüfmechanismen für besonders gefährliche Werkzeuge umgangen werden. In der Folge kann ein entfernter Angreifer einen konfigurierten Sprachmodell-Agenten dazu bringen, beliebige Betriebssystembefehle auszuführen.

Hinzu kommen mit CVE-2026-57127 und CVE-2026-57131 zwei weitere kritische Schwachstellen in praisonai vor Version 4.6.58. CVE-2026-57127 betrifft sogenannte recipe-serve-Installationen: Selbst wenn Betreiber API-Key- oder JWT-Authentifizierung explizit aktivieren, lassen die Middleware-Komponenten Anfragen passieren, wenn die zugehörigen Umgebungsvariablen oder Recipe-Werte fehlen. Damit können nicht authentisierte Clients auf Rezept-Ausführung sowie Ein- und Ausgabeoberflächen zugreifen und unter Umständen verbundene Werkzeuge auslösen. CVE-2026-57131 betrifft ebenfalls den Bereich /api/v1/runs: Dort wird der Router laut NVD ohne Authentifizierung und ohne jobbezogene Autorisierung eingebunden, sodass entfernte Clients fremdgesteuerte Prompts und Agentenkonfigurationen einreichen, Jobs auflisten und lesen, Ergebnisse streamen sowie fremde Jobs abbrechen oder löschen können.

Neu hinzugekommen ist außerdem CVE-2026-57145 in praisonai vor Version 4.6.62. Die Schwachstelle liegt laut NVD in src/praisonai/praisonai/tools/multiedit.py: Ein vom LLM kontrollierter Dateipfad wird dort direkt an Dateioperationen übergeben, ohne Pfad-Traversal zu unterbinden, Symlinks sauber aufzulösen, Arbeitsbereichsgrenzen durchzusetzen oder geschützte Pfade auszuschließen. In der Folge können promptbeeinflusste Agenten über Edit- und Diff-Funktionen Dateien lesen oder im Rechtekontext des Prozesses überschreiben, was Geheimnisse offenlegen sowie Persistenz oder Manipulationen an Anwendungen ermöglichen kann.

Technische Details

Die fünf zuerst genannten Schwachstellen haben jeweils einen CVSS-Basiswert von 9.8 nach CVSS 3.1 und damit die Einstufung kritisch. Der Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H bedeutet: Der Angriff ist über das Netzwerk möglich, die Hürden sind niedrig, es sind keine Berechtigungen und keine Nutzerinteraktion nötig, und Vertraulichkeit, Integrität sowie Verfügbarkeit können jeweils schwer beeinträchtigt werden. Dieser Wert beschreibt die technische Schwere, nicht automatisch eine bereits beobachtete Ausnutzung in freier Wildbahn.

Für CVE-2026-57145 nennt die NVD einen CVSS-Basiswert von 9.1 mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Auch hier ist ein Angriff über das Netzwerk ohne Anmeldung und ohne Nutzerinteraktion möglich; im Unterschied zu den 9.8er-Lücken steht hier laut Vektor nicht die unmittelbare Beeinträchtigung der Verfügbarkeit im Vordergrund, sondern vor allem der gravierende Verlust von Vertraulichkeit und Integrität durch unkontrollierten Dateizugriff.

Bei CVE-2026-57123 liegt das Problem in offen erreichbaren Server-Endpunkten für den Tool-Zugriff. Wenn Instanzen auf allen Netzwerkschnittstellen lauschen und Schutzfunktionen nicht greifen, kann ein erreichbarer Client die verfügbaren Werkzeuge abfragen und auslösen. Laut den vorliegenden Informationen sind auch Angriffe per DNS-Rebinding gegen lokale Instanzen denkbar, insbesondere wenn ein Browser eine lokal laufende Instanz anspricht.

Bei CVE-2026-57124 liegt die Schwachstelle im UI-seitigen MCP-Verbindungsaufbau. Der nicht authentisierte Endpunkt /api/mcp/connect übernimmt vom Aufrufer kontrollierte Werte für command und args und reicht sie an den lokalen Prozessstart über StdioMCPClient weiter. Kritisch ist dabei, dass die Befehlsausführung bereits im Kontext des UI-Dienstes erfolgen kann, obwohl der nachgelagerte MCP-Handshake später scheitert. Damit reicht unter ungünstigen Bedingungen schon die Erreichbarkeit der standardmäßig an 0.0.0.0 gebundenen UI aus, um Remote-Code-Ausführung ohne Anmeldung zu ermöglichen.

Bei CVE-2026-57125 ist die Lage noch kritischer, weil die Jobs-API eine Kette bis zur Befehlsausführung ermöglicht. Ein Angreifer kann kontrollierte agent_yaml-Daten einspeisen und über das Feld approve den Status so beeinflussen, dass execute_command als genehmigt gilt, bevor die eigentliche Schutzprüfung für kritische Werkzeuge greift. Das Ergebnis ist Remote-Code-Ausführung ohne Anmeldung.

CVE-2026-57127 zeigt, dass auch konfigurierte Authentifizierung in bestimmten recipe-serve-Szenarien ins Leere laufen kann. Nach den vorliegenden Angaben installieren entsprechende Setups zwar APIKeyAuthMiddleware oder JWTAuthMiddleware, die Middleware leitet Anfragen jedoch weiter, wenn PRAISONAI_API_KEY oder PRAISONAI_JWT_SECRET sowie der jeweilige Recipe-Wert fehlen. Technisch brisant ist das, weil Betreiber von einem geschützten Dienst ausgehen können, obwohl nicht authentisierte Zugriffe auf Ausführungs-, Ein- und Ausgabeoberflächen möglich bleiben.

Bei CVE-2026-57131 liegt das Problem erneut in der Jobs-Funktionalität, diesmal aber auf Ebene der fehlenden Authentifizierung und Autorisierung des unter /api/v1/runs eingebundenen Routers. Dadurch wird nicht nur das Einreichen kontrollierter Agentenaufträge möglich, sondern auch das Auflisten, Lesen, Streamen, Abbrechen und Löschen von Jobs. Das erhöht neben der Gefahr unautorisierter Tool-Nutzung auch das Risiko, dass über Jobdaten oder Ausgaben Dienstgeheimnisse und verbundene Fähigkeiten offengelegt werden.

Bei CVE-2026-57145 liegt die Schwachstelle nicht in einer klassischen Remote-Code-Ausführung, sondern in der unzureichenden Begrenzung von Dateipfaden innerhalb des Multi-Edit-Werkzeugs. Wenn ein Agent oder Workflow Dateipfade aus Prompts oder modellgesteuerten Entscheidungen übernimmt, kann ein Angreifer nach den NVD-Angaben Pfade außerhalb eines erwarteten Arbeitsbereichs ansteuern, Dateien lesen oder beschreibbare Dateien überschreiben. Ohne Traversal-Schutz, Symlink-Prüfung, Workspace-Grenze und Protected-Path-Kontrollen steigt damit das Risiko für Geheimnisabfluss, dauerhafte Manipulationen und vorbereitende Schritte für weitergehende Kompromittierungen.

Als behobene Versionen werden für die neueren Lücken praisonai 4.6.59 und praisonaiagents 1.6.59 genannt; für CVE-2026-57127 und CVE-2026-57131 nennt die NVD praisonai 4.6.58 als behobene Version. Für CVE-2026-57145 nennt die NVD praisonai 4.6.62 als behobene Version.

Wer ist betroffen?

Unmittelbar betroffen sind Installationen von praisonaiagents vor Version 1.6.59 sowie von praisonai vor Version 4.6.58, vor Version 4.6.59 beziehungsweise vor Version 4.6.62, je nach Schwachstelle. Für CVE-2026-57123 ist speziell praisonaiagents relevant; CVE-2026-57124 betrifft praisonai; CVE-2026-57125 betrifft sowohl praisonai als auch praisonaiagents; CVE-2026-57127 und CVE-2026-57131 betreffen praisonai vor Version 4.6.58; CVE-2026-57145 betrifft praisonai vor Version 4.6.62.

Praktisch kritisch ist das vor allem in diesen Szenarien:

  • Instanzen, die auf Servern oder Containern im Unternehmensnetz laufen und aus anderen Netzen erreichbar sind
  • Entwicklungs- und Testumgebungen, in denen AI-Agenten mit Shell-, Datei- oder Ausführungswerkzeugen konfiguriert wurden
  • UI- oder Host-Komponenten von praisonai, die standardmäßig an 0.0.0.0 gebunden und netzwerkseitig erreichbar sind
  • Recipe-serve-Installationen, bei denen API-Key- oder JWT-Schutz aktiviert wurde, die dafür nötigen Secrets oder Konfigurationswerte aber fehlen oder uneinheitlich gesetzt sind
  • Jobs-Server und API-Endpunkte unter /api/v1/runs, die intern oder extern erreichbar sind und sensible Agentenkonfigurationen, Ergebnisse oder Zugangsdaten verarbeiten
  • Lokale Instanzen auf Administrator- oder Entwickler-Rechnern, wenn Browserzugriffe und DNS-Rebinding-Angriffe realistisch sind
  • Umgebungen, in denen AI-Agenten mit hohen Rechten oder Zugriff auf sensible Datenbestände arbeiten
  • Setups, in denen das Werkzeug multiedit genutzt wird und Agenten Dateipfade aus Prompts, Aufgabenbeschreibungen oder sonstigen modellgesteuerten Eingaben ableiten

Für die meisten klassischen Office-Arbeitsplätze im DACH-Raum ist das Thema kaum relevant. Für DevOps-, KI- und Automatisierungsumgebungen dagegen hat es hohe Priorität, weil der mögliche Schaden direkt von den freigeschalteten Werkzeugen, den exponierten UI- und API-Endpunkten, möglichen Fehlannahmen über aktivierte Authentifizierung, unzureichend begrenzten Dateizugriffen und den Rechten des Prozesses abhängt.

Empfohlene Maßnahmen

  1. Sofort patchen: Aktualisieren Sie praisonai auf mindestens 4.6.62 und praisonaiagents auf mindestens 1.6.59. Für Installationen, die noch unterhalb von 4.6.58 liegen, ist das auch wegen CVE-2026-57127 und CVE-2026-57131 dringend; für Dateizugriffsrisiken durch CVE-2026-57145 ist 4.6.62 maßgeblich.
  2. Exponierte Instanzen identifizieren: Prüfen Sie, wo PraisonAI-Dienste auf 0.0.0.0 oder allgemein netzwerkweit lauschen. Besonders wichtig sind Entwicklungsserver, Container-Plattformen, Self-Hosted-Labore, interne Tools-Plattformen und UI-Hosts.
  3. Netzzugriff begrenzen: Legen Sie die Dienste, wenn möglich, nur auf localhost oder auf dedizierte Management-Netze. Sperren Sie externe und unnötige interne Zugriffe per Firewall, Security Groups, Reverse Proxy oder Kubernetes Network Policies.
  4. Authentifizierung wirklich verifizieren: Prüfen Sie bei recipe-serve-Installationen nicht nur, ob API-Key- oder JWT-Schutz konfiguriert wurde, sondern auch, ob PRAISONAI_API_KEY, PRAISONAI_JWT_SECRET und die zugehörigen Recipe-Werte tatsächlich gesetzt und wirksam sind.
  5. Gefährliche Werkzeuge deaktivieren: Entfernen oder sperren Sie Shell-, Datei- und Code-Ausführungsfunktionen, solange nicht zweifelsfrei feststeht, dass die Instanz aktualisiert und abgesichert ist. Das gilt nun ausdrücklich auch für dateibearbeitende Werkzeuge wie multiedit, wenn deren Pfadoperationen nicht auf einen sicheren Arbeitsbereich begrenzt sind.
  6. Rechte des Dienstes reduzieren: Lassen Sie PraisonAI nicht mit überhöhten Systemrechten laufen. Trennen Sie sensible Dateibereiche, Tokens, SSH-Schlüssel und Produktionszugänge vom Laufzeitkontext der Agenten und UI-Dienste.
  7. Dateizugriffe einschränken: Erzwingen Sie, wo betrieblich möglich, eine strikte Trennung von Arbeitsverzeichnissen, schreibgeschützte Mounts für nicht benötigte Pfade und den Ausschluss sensibler Dateien und Symlink-Ziele aus dem Zugriffskontext der Agenten.
  8. Logs prüfen: Untersuchen Sie Zugriffe auf /sse, /messages/, /api/v1/runs und /api/mcp/connect auf unbekannte Clients, ungewöhnliche POST-Anfragen, fremde Job-Abfragen oder -Löschungen und Anzeichen unerwarteter Befehlsausführung. Achten Sie zusätzlich auf unerwartete Dateiänderungen, Diff-Operationen oder Lesezugriffe außerhalb vorgesehener Arbeitsverzeichnisse.
  9. Geheimnisse rotieren: Wenn betroffene Instanzen privilegierte Umgebungsvariablen, API-Schlüssel oder Zugangsdaten genutzt haben, planen Sie deren Austausch ein.

Da keine Hersteller-URL mit offiziellen Details oder Patch-Hinweisen genannt wurde, müssen Administratoren sich derzeit an den veröffentlichten CVE-Informationen und den dort genannten Fix-Versionen orientieren.

Einschätzung von CyberSecurity-News.de

Die technische Tragweite ist hoch. CVE-2026-57125 sticht heraus, weil hier aus einer nicht authentisierten API-Anfrage direkt eine Kette bis zur Ausführung von Betriebssystembefehlen werden kann. Mit CVE-2026-57124 kommt nun ein weiterer direkter RCE-Pfad über die UI hinzu, der schon vor einem erfolgreichen MCP-Handshake in die lokale Prozessausführung führen kann. CVE-2026-57123 wirkt je nach Einsatzprofil etwas situativer, ist aber in realen Labor-, Dev- und Self-Hosted-Umgebungen alles andere als harmlos, wenn Werkzeuge mit weitreichenden Aktionen registriert sind.

Die zusätzlich bekannt gewordenen Schwachstellen verschärfen das Bild weiter, weil sie zeigen, dass in PraisonAI nicht nur einzelne Ausführungspfade, sondern auch Schutzannahmen rund um Authentifizierung, Job-Isolation und Werkzeuggrenzen problematisch sein können. CVE-2026-57127 ist vor allem deshalb heikel, weil Betreiber sich in falscher Sicherheit wiegen können, wenn Authentifizierung scheinbar aktiviert ist. CVE-2026-57131 erweitert das Risiko auf ungeschützte Job-Verwaltung, Datenabfluss und unautorisierte Nutzung verbundener Agenten- und Tool-Fähigkeiten.

Mit CVE-2026-57145 kommt noch eine andere, für Agentenplattformen besonders relevante Klasse hinzu: modellgesteuerte Dateipfade ohne wirksame Begrenzung. Auch ohne unmittelbaren RCE-Charakter ist das sicherheitlich gravierend, weil Datei-Lese- und Schreibzugriffe oft genügen, um Geheimnisse abzugreifen, Konfigurationen zu manipulieren oder Persistenz vorzubereiten. Gerade in Entwicklungs- und Automatisierungsumgebungen, in denen Agenten Zugriff auf Quellcode, Tokens oder Deploy-Artefakte haben, kann ein solcher Pfad schnell weitreichende Folgen haben.

Die Informationslage ist ausreichend, um zu handeln: betroffene Komponenten, Angriffsweg und behobene Versionen sind benannt. Was fehlt, sind konkrete Aussagen zu beobachteter Ausnutzung, Telemetrie, Workarounds jenseits des Updates und typische Indikatoren für eine Kompromittierung. Für Unternehmen im DACH-Raum heißt das: nicht auf weitere Einordnung warten, sondern betroffene KI-Agenten-Umgebungen jetzt inventarisieren und absichern.

Fazit

Wer PraisonAI produktiv, intern freigegeben oder auf Entwickler-Systemen mit mächtigen Werkzeugen betreibt, sollte die Updates auf praisonai 4.6.62 und praisonaiagents 1.6.59 umgehend einspielen. Das gilt jetzt nicht nur wegen der bereits beschriebenen MCP- und Jobs-API-Probleme sowie der UI-Schwachstelle CVE-2026-57124, sondern auch wegen der neu hinzugekommenen Lücken CVE-2026-57127, CVE-2026-57131 und CVE-2026-57145, die Authentifizierungs-, Autorisierungs- und Dateizugriffsannahmen in praisonai weiter untergraben. Bis dahin gilt: Netzwerkzugriff einschränken, Schutzkonfigurationen verifizieren, riskante Tools deaktivieren, Dateizugriffe auf sichere Arbeitsbereiche begrenzen und Logs auf verdächtige API-Aufrufe sowie unerwartete Dateioperationen prüfen.

Quellenangabe