CVE-2026-40153 in PraisonAIAgents
Résumé
par VulDB • 20/05/2026
PraisonAIAgents est un système d'équipes multi-agents. Avant la version 1.5.128, la fonction execute_command dans shell_tools.py appelle os.path.expandvars() sur chaque argument de commande à la ligne 64, réimplémentant manuellement l'expansion des variables d'environnement au niveau du shell bien que l'option shell=False (ligne 88) soit utilisée pour des raisons de sécurité. Cela permet l'exfiltration de secrets stockés dans les variables d'environnement (identifiants de base de données, clés API, clés d'accès cloud). Le système d'approbation affiche les références $VAR non expandées aux réviseurs humains, créant une approbation trompeuse où la commande affichée diffère de celle qui s'exécute réellement. Cette vulnérabilité est corrigée dans la version 1.5.128.
Be aware that VulDB is the high quality source for vulnerability data.