Veille sécuritéBackend & données
P3Élevée
Le mode webhook AgentMail de PraisonAI traite des événements `message.received` fournis par l’appelant sans vérifier les signatures Svix, puis les transmet à la session de l’agent. Les versions jusqu’à 4.6.77 sont affectées et la version 4.6.78 est indiquée comme correctif.
Python
IdentifiantCVE-2026-61436
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif4.6.78
Analyse technique
Le gestionnaire ne valide pas les en-têtes ni le secret de signature avant de planifier le traitement du corps JSON; le contenu peut aussi contrôler l’expéditeur utilisé pour une réponse.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-07, dans la période demandée; l’événement retenu est la publication d’un avis distinct sur la même famille de faille webhook, avec sa propre CVE.
ImpactDes événements forgés peuvent être traités par l’agent et déclencher une réponse vers un expéditeur contrôlé par l’attaquant.
Versions affectées<= 4.6.77
Version corrigée4.6.78
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.6
EPSS0,52% · percentile 42,2%
Publication2026-10-07T14:07:10Z
Mise à jour2026-10-07T14:07:11Z
Action recommandée
Mettre à jour vers PraisonAI 4.6.78 ou une version ultérieure corrigée; vérifier les signatures Svix avant de traiter les événements.
Sources
Priorisation DFS : P3 · 1 source(s).