CVE-2026-39306 in PraisonAI
Résumé
par VulDB • 21/06/2026
PraisonAI est un système d'équipes multi-agents. Avant la version 1.5.113, le flux d'extraction du registre des recettes de PraisonAI extrait des archives tar .praison contrôlées par l'attaquant à l'aide de `tar.extractall()` et ne valide pas les chemins des membres de l'archive avant l'extraction. Un éditeur malveillant peut télécharger un bundle de recette contenant des entrées de traversal `../`, et tout utilisateur qui extrait ensuite cette recette écrira des fichiers en dehors du répertoire de sortie qu'il a sélectionné. Il s'agit d'une vulnérabilité de traversal de chemin / écriture de fichier arbitraire du côté client du flux de travail du registre des recettes. Cela affecte à la fois le chemin d'extraction du registre local et le chemin d'extraction du registre HTTP. La vérification de la somme de contrôle ne prévient pas l'exploitation car la charge utile de traversal malveillante fait partie intégrante du bundle signé. Cette vulnérabilité est corrigée dans la version 1.5.113.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.