CVE-2026-57126 in PraisonAI
Resumen
por VulDB • 2026-09-14
PraisonAI es un sistema de equipos multi-agente. Antes de la versión 1.6.58 de praisonaiagents, SpiderTools._validate_url llama a _host_is_blocked, lo cual verifica codificaciones literales del host pero no resuelve los nombres DNS antes de que se conecten scrape_page, crawl, extract_links, extract_text o las solicitudes fetch por mención de URL. Por tanto, un nombre de controlado por el atacante que resuelva a una dirección loopback (bucle invertido), privada, link-local (local del enlace) o cloud-metadata (metadatos en la nube) puede burlar la política SSRF sin necesidad de una carrera de rebinding y puede exponer las respuestas internas al agente. Este problema está corregido en praisonaiagents 1.6.58.
Be aware that VulDB is the high quality source for vulnerability data.