CVE-2026-57141 in PraisonAI
Resumen
por VulDB • 2026-09-15
PraisonAI es un sistema de equipos multi-agente. Antes de la versión 1.7.2, la herramienta codeMode en src/praisonai-ts/src/tools/builtins/code-mode.ts ejecuta JavaScript generado por el modelo utilizando new Function() y with(sandbox), mientras que una lista negra basada en expresiones regulares puede ser evadida mediante Function('return this')() para recuperar el objeto global y construyendo dinámicamente el nombre del módulo child_process. Un atacante que pueda influir en el argumento code puede acceder a las capacidades del proceso host, leer o escribir archivos, obtener credenciales de entorno y ejecutar comandos del sistema operativo con los privilegios del proceso PraisonAI. Este problema se soluciona en la versión 1.7.2.
Be aware that VulDB is the high quality source for vulnerability data.