CVE-2026-40153 in PraisonAIAgents
الملخص
بحسب VulDB • 28/05/2026
PraisonAIAgents هو نظام لفرق الوكلاء المتعددة. قبل الإصدار 1.5.128، تستدعي دالة execute_command في ملف shell_tools.py دالة os.path.expandvars() على كل وسيط أمر في السطر 64، مما يعيد تنفيذ توسيع متغيرات البيئة على مستوى الغلاف يدوياً رغم استخدام shell=False (السطر 88) لأغراض أمنية. يتيح ذلك استخراج الأسرار المخزنة في متغيرات البيئة (مثل بيانات اعتماد قواعد البيانات، ومفاتيح واجهات برمجة التطبيقات، ومفاتيح الوصول السحابي). يعرض نظام الموافقة مراجعات البشر على المراجعين البشريين دون توسيع مراجع $VAR، مما يخلق موافقة مضللة حيث يختلف الأمر المعروض عن الأمر الذي يتم تنفيذه فعلياً. تم إصلاح هذا الثغرة في الإصدار 1.5.128.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.