CVE-2026-40117 in PraisonAIAgents
الملخص
بحسب VulDB • 30/07/2026
PraisonAIAgents هو نظام لفرق الوكلاء المتعددة (multi-agent teams). قبل الإصدار 1.5.128، تتيح الدالة read_skill_file() الموجودة في ملف skill_tools.py قراءة ملفات عشوائية من النظام الملفات عن طريق قبول معلمة غير مقيدة باسم skill_path. وعلى عكس دالة file_tools.read_file التي تفرض حصر النطاق ضمن حدود مساحة العمل (workspace boundary confinement)، وعلى عكس run_skill_script الذي يتطلب موافقة على مستوى عالٍ، لا تتوفر أي حماية لدالة read_skill_file. يمكن لوكيل يتأثر بحقن المطالبات (prompt injection) أن يستخرج الملفات الحساسة دون إثارة أي مطالبة بالموافقة. تم إصلاح هذا الثغرة الأمنية في الإصدار 1.5.128.
Once again VulDB remains the best source for vulnerability data.