Se ha detectado que atacantes intentaron explotar la vulnerabilidad CVE-2026-44338 en PraisonAI apenas cuatro horas después de su publicación. Este fallo de autenticación permitía acceder a funciones protegidas y ejecutar flujos de trabajo sin token, afectando a las versiones 2.5.6 hasta la 4.6.33. Se recomienda actualizar a la versión 4.6.34 y auditar los despliegues para mitigar riesgos.





Se ha observado que diversos actores de amenazas han intentado explotar una vulnerabilidad de seguridad recientemente revelada en PraisonAI, un marco de orquestación multiagente de código abierto, menos de cuatro horas después de su divulgación pública.

La vulnerabilidad en cuestión es CVE-2026-44338 (puntuación CVSS: 7.3), un caso de falta de autenticación que expone endpoints sensibles a cualquier persona, permitiendo potencialmente que un atacante invoque la funcionalidad protegida del servidor API sin un token.

"PraisonAI incluye un servidor API de Flask heredado con la autenticación desactivada por defecto", según un aviso publicado por los mantenedores a principios de este mes. "Cuando se utiliza ese servidor, cualquier persona que pueda alcanzarlo puede acceder a /agents y activar el flujo de trabajo configurado en agents.yaml a través de /chat sin proporcionar un token".

Específicamente, el servidor API heredado basado en Flask, src/praisonai/api_server.py, tiene codificados AUTH_ENABLED = False y AUTH_TOKEN = None. Según PraisonAI, la explotación exitosa del fallo puede tener diversos impactos, incluyendo:

* Enumeración no autenticada del archivo de agente configurado a través de /agents. * Activación no autenticada del flujo de trabajo "agents.yaml" configurado localmente a través de /chat. * Consumo repetido de la cuota del modelo/API. * Exposición de los resultados de PraisonAI.run() al llamador no autenticado.

"El impacto, por lo tanto, depende de lo que se permita hacer al archivo agents.yaml del operador, pero la omisión de la autenticación es incondicional en el servidor heredado suministrado", afirmó PraisonAI.

La vulnerabilidad afecta a todas las versiones del paquete de Python desde la 2.5.6 hasta la 4.6.33. Ha sido corregida en la versión 4.6.34. El investigador de seguridad Shmulik Cohen ha sido acreditado por descubrir y reportar el error.

En un informe publicado por Sysdig esta semana, la empresa de seguridad en la nube señaló que observó intentos de explotar el fallo a las pocas horas de que se hiciera público.

"A las tres horas y 44 minutos de que el aviso se hiciera público, un escáner que se identificaba como CVE-Detector/1.0 estaba sondeando exactamente el endpoint vulnerable en instancias expuestas a internet", señaló. "El aviso fue publicado [el 11 de mayo de 2026] a las 13:56 UTC. La primera solicitud dirigida llegó a las 17:40 UTC el mismo día".

La actividad, según Sysdig, se originó desde la dirección IP 146.190.133[.]49 y siguió el perfil de un escáner empaquetado que realizó dos pasadas separadas por ocho minutos, con cada pasada enviando aproximadamente 70 solicitudes en unos 50 segundos.

Mientras que la primera pasada escaneó rutas de divulgación genéricas (/.env, /admin, /users/sign_in, /eval, /calculate, /Gemfile.lock), la segunda pasada seleccionó específicamente superficies de agentes de IA, incluido PraisonAI.

"La sonda que coincidió directamente con CVE-2026-44338 fue un único GET /agents sin encabezado de Autorización y con el User-Agent CVE-Detector/1.0", dijo Sysdig. "Esa solicitud devuelve un 200 OK con el cuerpo {"agent_file":"agents.yaml","agents":[...]}, confirmando que la omisión fue exitosa".

No se ha encontrado que el escáner haya enviado ninguna solicitud POST al endpoint "/chat" durante ninguna de las pasadas, lo que indica que la actividad es consistente con una verificación inicial para determinar si la omisión de autenticación funciona y confirmar si el host es explotable a través de CVE-2026-44338.

La rápida explotación de PraisonAI es el último ejemplo de una tendencia más amplia en la que los actores de amenazas están adoptando cada vez más fallos recién revelados en su arsenal antes de que puedan ser parcheados. Se recomienda a los usuarios aplicar las últimas correcciones lo antes posible, auditar los despliegues existentes, revisar la facturación del proveedor del modelo para detectar cualquier actividad sospechosa y rotar las credenciales referenciadas en "agents.yaml".

"Las herramientas del adversario se han escalado a todo el ecosistema de IA y agentes, sin importar el tamaño y no solo los nombres conocidos; la suposición operativa para cualquier proyecto que envíe un valor predeterminado no autenticado debe ser que la ventana entre la divulgación y la explotación activa se mide en horas de un solo dígito", concluyó Sysdig.

Fuente:
THN