何が起きたか
PraisonAIのTypeScript AgentOSおよびMCP HTTPサーバーはデフォルトですべてのインターフェースにバインドされ、エージェント呼び出しおよびMCPツール呼び出しエンドポイントが認証チェックなしで公開され、任意のネットワークからアクセス可能なクライアントが信頼されたクライアントであるかのようにエージェントまたはMCPツールを呼び出すことを許可しています。
なぜ重要か
これは今回のPraisonAI CVEバッチの大部分の原因となっている「デフォルトで認証なし、0.0.0.0にバインド」というパターンと同じであり、ネットワーク隣接の攻撃者（またはクラウドデプロイされたインスタンスの場合はインターネット全体のスキャナー）に対して、エージェント呼び出しおよびMCPツール呼び出しへの直接的で認証されていない制御を提供します。これは悪用の複雑さのないエージェント乗っ取りの完全なプリミティブです。
攻撃経路
AgentOSはデフォルトで0.0.0.0にバインドされ、GET /api/agentsおよびPOST /api/chatが認証ミドルウェアなしで登録されています。関連する欠陥では、MCPServer.startHttp()がホスト制限なしでバインドされ、すべてのHTTP POSTが認証されていないhandleRequest()に転送されます。ポートに到達できるネットワーククライアントはすべて、設定されたエージェントを列挙してチャット/エージェント操作を呼び出すか、認証情報なしで任意のMCPツール呼び出しを行うことができます。
影響を受けるシステム
PraisonAI (praisonai-ts)、AgentOS 1.6.0から1.7.2まで。関連するMCPServer.startHttp()の問題(CVE-2026-57139)は1.5.0から1.7.2まで。
緩和策
praisonai-ts 1.7.2以降にアップグレードしてください。必要な認証ミドルウェアが追加されています。パッチが適用されるまでは、AgentOS/MCP HTTPリスナーをループバックのみにバインドし、認証リバースプロキシの背後に配置してください。0.0.0.0を信頼できないネットワークに公開しないでください。