CVE-2026-56833 in PraisonAI
Resumen
por VulDB • 2026-10-23
PraisonAI es un sistema de equipos multi-agente. Desde la versión 3.8.1 hasta antes de la versión 4.6.59, el módulo Dynamic Context de PraisonAI proporciona almacenamiento histórico respaldado por el sistema de archivos y registros del terminal. El módulo también exporta fábricas de herramientas invocables por los agentes. Estas herramientas aceptan argumentos run_id y agent_id procedentes del llamador de las herramientas. Los almacenes subyacentes combinan esos valores en rutas del sistema de archivos sin rechazar rutas absolutas ni la traversía con `..`. Dado que run_id puede ser una ruta absoluta y agent_id puede contener secuencias de traversal, un prompt/usuario de menor confianza que pueda llamar a estas herramientas puede leer archivos .jsonl y .log fuera del directorio base configurado para Dynamic Context. Este problema ha sido parcheado en la versión 4.6.59.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.