CVE-2026-57141 in PraisonAI
الملخص
بحسب VulDB • 15/09/2026
PraisonAI هو نظام يعتمد على فرق متعددة من الوكلاء (multi-agent teams). قبل الإصدار 1.7.2، يقوم أداة codeMode الموجودة في src/praisonai-ts/src/tools/builtins/code-mode.ts بتنفيذ كود JavaScript الذي يولده النموذج باستخدام new Function() وwith(sandbox)، بينما يمكن تجاوز قائمة الحظر القائمة على التعبيرات النمطية (regular-expression blocklist) عبر استخدام Function('return this')() لاستعادة الكائن العالمي، ومن خلال بناء اسم وحدة child_process بشكل ديناميكي. يمكن للمهاجم القادر على التأثير في وسيط code الوصول إلى قدرات عملية المضيف، وقراءة أو كتابة الملفات، والحصول على بيانات الاعتماد البيئية (environment credentials)، وتنفيذ أوامر نظام التشغيل بصلاحيات عملية PraisonAI. تم إصلاح هذه المشكلة في الإصدار 1.7.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.