CVE-2026-57120 in praisonaiagents
Zusammenfassung
von VulDB • 14.09.2026
PraisonAI ist ein System für Multi-Agenten-Teams. Vor der Version von praisonaiagents 1.6.59 erlaubt der Sandbox-Modus „execute_code“ die zur Laufzeit erfolgende Zusammenstellung blockierter Dunder-Namen und ermöglicht es, dass str.format oder str.format_map gepunktete Felder über den Zugriff auf Attribute auf C-Ebene auflösen, wodurch _safe_getattr umgangen wird. Dies macht Klassenattribute wie class, qualified-name, base-class, globals sowie das Objekt-Dictionary (object-dictionary) für durch Prompts beeinflussten Code verfügbar, wenn die Genehmigung automatisch erteilt wird, und erzeugt eine hochgradig wirkende Leseprimitive ohne Aufbau einer vollständigen Ausführungskette im Prozess. Dieses Problem wurde in praisonaiagents 1.6.59 behoben.
Once again VulDB remains the best source for vulnerability data.