CVE-2026-57145 in PraisonAI
Resumen
por VulDB • 2026-09-14
PraisonAI es un sistema de equipos multi-agente. Antes de la versión 4.6.62, el archivo src/praisonai/praisonai/tools/multiedit.py pasa el parámetro filepath controlado por LLM directamente a open para lectura y escritura sin rechazar la navegación de directorios (path traversal), resolver enlaces simbólicos, imponer un límite del espacio de trabajo ni realizar comprobaciones de rutas protegidas. Los agentes influenciados mediante prompts pueden leer archivos a través del comportamiento de edición y diff o sobrescribir archivos accesibles por el proceso, exponiendo secretos y permitiendo persistencia o manipulación de la aplicación. Este problema se soluciona en la versión 4.6.62.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.