Kurzfassung
In PraisonAI und praisonai-platform sind sechs zusammenhängende, kritische Schwachstellen bekannt geworden, darunter Remote-Codeausführung, ungeschützte HTTP-Schnittstellen und vorhersehbare JWT-Geheimnisse. Besonders gravierend ist CVE-2026-57138 mit CVSS 9.9, kritisch; weitere Lücken wie CVE-2026-57139, CVE-2026-57141, CVE-2026-57147 und CVE-2026-57148 liegen bei 9.8. Unternehmen sollten betroffene Instanzen umgehend auf 1.7.2 beziehungsweise praisonai-platform 0.1.6 aktualisieren und alle öffentlich erreichbaren Dienste sofort abschirmen.
Was ist passiert?
Betroffen ist PraisonAI, ein System für Multi-Agenten-Workflows, sowie die zugehörige Plattformkomponente praisonai-platform. Die jetzt öffentlich dokumentierten Schwachstellen betreffen mehrere Sicherheitsbereiche gleichzeitig: die Ausführung von JavaScript in einer unzureichend isolierten Umgebung, offen erreichbare Server-Endpunkte ohne Authentifizierung sowie fehlerhafte Standardeinstellungen bei der Token-Signierung.
Konkret geht es um die CVEs CVE-2026-57138, CVE-2026-57139, CVE-2026-57140, CVE-2026-57141, CVE-2026-57147 und CVE-2026-57148. Zusammen ergibt sich ein ungünstiges Bild: Wer solche Dienste im Netz erreichbar betreibt, setzt unter Umständen Agenten, Werkzeuge, Zugangsdaten, Dateien und Prozessrechte dem direkten Zugriff durch Angreifer aus.
Technische Details
CVE-2026-57138 und CVE-2026-57141 betreffen die Funktion codeMode. Dort wird JavaScript mit Konstrukten wie new Function() in einer nur scheinbar begrenzten Laufzeitumgebung ausgeführt. Laut NVD lassen sich diese Schutzmechanismen umgehen, um wieder an globale Funktionen, Prozessobjekte und damit an Dateisystem, Umgebungsvariablen oder Betriebssystembefehle zu gelangen. Das kann in der Praxis zu Remote-Codeausführung, Dateimanipulation, Geheimnisdiebstahl und zur Störung des Dienstes führen.
CVE-2026-57139 betrifft den HTTP-Start des MCP-Servers. Der Server akzeptiert eingehende POST-Anfragen ohne Authentifizierung oder Autorisierung und leitet sie an interne Handler weiter. Ein Angreifer kann dadurch registrierte Funktionen aufrufen, Daten lesen oder serverseitige Aktionen mit den Rechten des Dienstes auslösen.
CVE-2026-57140 beschreibt ein ähnliches Problem in AgentOS. Dort sind unter anderem GET /api/agents und POST /api/chat ohne vorgeschaltete Authentifizierung erreichbar; zusätzlich bindet der Dienst standardmäßig an 0.0.0.0. Wer den Dienst aus dem Netz erreicht, kann Agenteninformationen abfragen und ausgewählte Agenten anstoßen, womöglich inklusive Zugriff auf Werkzeuge, Speicherinhalte, externe Schnittstellen und hinterlegte Zugangsdaten.
CVE-2026-57147 und CVE-2026-57148 betreffen praisonai-platform vor Version 0.1.6. Wenn die Umgebungsvariable für das JWT-Geheimnis nicht gesetzt ist, greift die Plattform auf einen bekannten Entwicklungswert zurück. Gleichzeitig verhindern weitere Voreinstellungen wirksame Schutzmechanismen im Produktivbetrieb. Ein externer Angreifer kann dadurch gültig wirkende HS256-Tokens selbst signieren und sich gegenüber geschützten API-Routen als beliebiger Benutzer ausgeben, sofern Kennungen bekannt sind.
Für die technische Schwere nennt NVD bei CVE-2026-57138 einen CVSS-Basiswert von 9.9 mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Das bedeutet: Der Angriff ist über das Netzwerk möglich, die Komplexität ist gering, Nutzerinteraktion ist nicht nötig und schon geringe Berechtigungen reichen aus; die Folgen können Vertraulichkeit, Integrität und Verfügbarkeit massiv treffen. Der CVSS-Wert beschreibt die technische Schwere einer Schwachstelle, nicht automatisch die tatsächliche Ausnutzung in Ihrer Umgebung.
Wer ist betroffen?
Bei PraisonAI sind nach NVD mehrere Versionsbereiche betroffen. CVE-2026-57138 betrifft Versionen von 1.4.0 bis vor 1.7.2. CVE-2026-57139 betrifft 1.5.0 bis vor 1.7.2. CVE-2026-57140 betrifft 1.6.0 bis vor 1.7.2. CVE-2026-57141 betrifft alle Versionen vor 1.7.2.
Für praisonai-platform gelten CVE-2026-57147 und CVE-2026-57148 als behoben ab Version 0.1.6. Betroffen sind also frühere Ausgaben der Plattformkomponente.
Für Unternehmen im DACH-Raum ist das vor allem dann relevant, wenn PraisonAI in internen Automatisierungs-, Agenten- oder Entwicklungsumgebungen eingesetzt wird und Dienste per HTTP im LAN, per VPN oder direkt aus dem Internet erreichbar sind. Besonders kritisch sind Instanzen mit Zugriff auf API-Schlüssel, Quellcode, Dateifreigaben, CI/CD-Umgebungen oder Cloud-Zugangsdaten.
Empfohlene Maßnahmen
Erstens: Aktualisieren Sie PraisonAI umgehend auf Version 1.7.2 oder neuer und praisonai-platform auf 0.1.6 oder neuer. Ohne diese Updates bleiben die beschriebenen Angriffswege offen.
Zweitens: Nehmen Sie betroffene Dienste sofort aus der öffentlichen Erreichbarkeit. Beschränken Sie den Zugriff per Firewall, Reverse Proxy, Sicherheitsgruppe oder Kubernetes-Network-Policy auf administrative Netze und definierte Backend-Systeme. Prüfen Sie speziell Dienste, die an 0.0.0.0 binden.
Drittens: Deaktivieren Sie bis zur vollständigen Aktualisierung Funktionen zur Codeausführung wie codeMode, sofern Ihr Betrieb das zulässt. Wenn das nicht möglich ist, trennen Sie diese Workloads strikt von sensiblen Hosts und Zugangsdaten. Solche Komponenten gehören in isolierte Laufzeitumgebungen ohne privilegierten Host-Zugriff.
Viertens: Setzen Sie in praisonai-platform zwingend ein eigenes, starkes JWT-Geheimnis über die vorgesehene Umgebungsvariable und überprüfen Sie die Betriebsumgebung auf versehentliche Entwicklungsdefaults. Rotieren Sie im Anschluss alle Tokens und Sitzungen. Wenn nicht sicher ausgeschlossen werden kann, dass die Plattform erreichbar war, sollten Sie zusätzlich Benutzerkennungen, Workspace-Zuordnungen und Audit-Logs prüfen.
Fünftens: Suchen Sie in Logs nach verdächtigen Aufrufen von /api/chat, /api/agents, MCP-Endpunkten sowie nach ungewöhnlichen Datei- oder Prozessaktionen des PraisonAI-Dienstkontos. Achten Sie auch auf neu erstellte oder manipulierte Dateien, ausgehende Verbindungen und Zugriffe auf Umgebungsvariablen mit Schlüsseln oder Tokens.
Sechstens: Gehen Sie bei exponierten Instanzen von einem möglichen Geheimnisabfluss aus. Rotieren Sie daher API-Schlüssel, Datenbank-Zugangsdaten, Cloud-Credentials und sonstige im Prozesskontext verfügbare Geheimnisse, wenn eine Erreichbarkeit aus unsicheren Netzen bestand.
Einschätzung von CyberSecurity-News.de
Die Kombination dieser sechs CVEs ist ernster als die einzelne Kennung vermuten lässt. Hier geht es nicht um ein isoliertes Randproblem, sondern um mehrere grundlegende Sicherheitsmängel in angriffsnahen Bereichen: Ausführung nicht vertrauenswürdigen Codes, fehlende Authentifizierung und unsichere Standardwerte für Token-Signaturen. Das ist für jede Plattform problematisch, für ein agentenbasiertes System mit möglichem Zugriff auf Werkzeuge und Geheimnisse aber besonders heikel.
Auffällig ist zudem, dass mehrere Probleme in Version 1.7.2 oder 0.1.6 als behoben genannt werden, teils mit dem Hinweis auf eine erste Abhilfe. Das lässt Raum für Rückfragen, ob die jeweiligen Maßnahmen abschließend sind oder kurzfristig nachgebessert werden mussten. Unternehmen sollten deshalb nicht nur patchen, sondern die Exponierung der Dienste grundsätzlich neu bewerten.
Für viele Leser ist das Thema nur dann akut, wenn PraisonAI oder praisonai-platform tatsächlich produktiv oder in Entwicklungsumgebungen eingesetzt werden. Wo das der Fall ist, ist die Priorität jedoch hoch. Internet-exponierte Installationen sollten aus Sicht des Betriebs als potenziell kompromittiert behandelt werden, bis Logs geprüft, Geheimnisse rotiert und Updates eingespielt sind.
Fazit
Wenn Sie PraisonAI oder praisonai-platform einsetzen, sollten Sie die betroffenen Versionen ohne Aufschub ersetzen und die Erreichbarkeit der Dienste stark einschränken. Besonders bei öffentlich zugänglichen Instanzen reicht Patchen allein nicht aus: Prüfen Sie Protokolle, rotieren Sie Geheimnisse und kontrollieren Sie, ob unautorisierte API-Aufrufe oder Token-Manipulationen stattgefunden haben.
