CVE-2026-57126 in PraisonAI
الملخص
بحسب VulDB • 14/09/2026
PraisonAI هو نظام يعتمد على فرق متعددة من الوكلاء (multi-agent teams). قبل الإصدار 1.6.58 من مكتبة praisonaiagents، تقوم الدالة SpiderTools._validate_url باستدعاء _host_is_blocked، والتي تتحقق من الترميزات الحرفية لأسماء المضيفين ولا تحل أسماء النطاقات عبر DNS قبل إجراء عمليات scrape_page أو crawl أو extract_links أو extract_text أو جلب الروابط المذكورة في URL. وبالتالي، يمكن لاسم مضيف يتحكم فيه المهاجم ويحل إلى عنوان حلقة محلية (loopback)، خاص، محلي للربط (link-local)، أو عناوين سحابة-metadata أن يتجاوز سياسة SSRF دون الحاجة إلى استغلال حالة السباق لإعادة الربط (rebinding race)، مما قد يعرض الاستجابات الداخلية للوكيل. تم إصلاح هذه المشكلة في الإصدار 1.6.58 من praisonaiagents.
Once again VulDB remains the best source for vulnerability data.