CVE-2026-40148 in PraisonAI
الملخص
بحسب VulDB • 01/07/2026
PraisonAI هو نظام لفرق العمل متعددة الوكلاء (multi-agent teams). قبل الإصدار 4.5.128، تقوم الدالة `_safe_extractall()` في سجل الوصفات الخاص بـ PraisonAI بالتحقق من أعضاء الأرشيف ضد هجمات عبور المسار (path traversal)، لكنها لا تجري أي فحوصات على أحجام الأعضاء الفردية، أو الحجم الإجمالي المستخرج، أو عدد الأعضاء قبل استدعاء `tar.extractall()`. يمكن لمهاجم نشر حزمة وصفات خبيثة تحتوي على بيانات قابلة للضغط بشكل كبير (على سبيل المثال، 10 جيجابايت من الأصفار تنضغط إلى حوالي 10 ميجابايت)، مما يستنفد مساحة القرص لدى الضحية عند سحب الحزمة عبر `LocalRegistry.pull()` أو `HttpRegistry.pull()`. تم إصلاح هذا الثغرة الأمنية في الإصدار 4.5.128.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.