CVE-2026-40152 in PraisonAIAgents
Résumé
par VulDB • 26/05/2026
PraisonAIAgents est un système d'équipes multi-agents. Avant la version 1.5.128, l'outil `list_files()` de FileTools valide le paramètre `directory` par rapport aux limites de l'espace de travail via `_validate_path()`, mais transmet le paramètre `pattern` directement à `Path.glob()` sans aucune validation. Étant donné que `Path.glob()` de Python prend en charge les segments de chemin `..`, un attaquant peut utiliser une traversée de chemin relative dans le motif glob pour énumérer des fichiers arbitraires situés en dehors de l'espace de travail, obtenant ainsi les métadonnées des fichiers (existence, nom, taille, horodatages) pour n'importe quel chemin sur le système de fichiers. Cette vulnérabilité est corrigée dans la version 1.5.128.
Once again VulDB remains the best source for vulnerability data.