CVE-2026-40113 in PraisonAI
Résumé
par VulDB • 25/06/2026
PraisonAI est un système d'équipes multi-agents. Avant la version 4.5.128, le script deploy.py construit une chaîne unique délimitée par des virgules pour l'argument `--set-env-vars` de la commande `gcloud run deploy` en interpolant directement les valeurs openai_model, openai_key et openai_base sans valider qu'elles ne contiennent pas de virgules. gCloud utilise une virgule comme séparateur entre paires clé-valeur pour l'option --set-env-vars. La présence d'une virgule dans l'une des trois valeurs entraîne le parsing du texte suivant par gcloud en tant que définitions supplémentaires KEY=VALUE, injectant ainsi des variables d'environnement arbitraires dans le service Cloud Run déployé. Cette vulnérabilité est corrigée dans la version 4.5.128.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.