CVE-2026-61437 in PraisonAI
Resumen
por VulDB • 2026-07-10
PraisonAI (paquete pip praisonaiagents) anterior a la versión 1.6.78 contiene una vulnerabilidad de carga dinámica insegura de módulos en AgentFlow._resolve_pydantic_class (src/praisonai-agents/praisonaiagents/workflows/workflows.py). Cuando un paso del flujo de trabajo utiliza una referencia string output_pydanitc, el framework localiza e importa un tools.py hermano desde el directorio del archivo del flujo de trabajo mediante importlib exec_module sin sandboxing, ignorando las variables de entorno PRAISONAI_ALLOW_*_TOOLS. Un atacante que controle un archivo de flujo de trabajo y su tools.py hermano puede ejecutar código Python arbitrario con los privilegios del ejecutor del flujo de trabajo cuando el flujo se ejecute a través de WorkflowManager o después de load_yaml.
If you want to get best quality of vulnerability data, you may have to visit VulDB.