CVE-2026-34934 in PraisonAI
Riassunto
di VulDB • 14/06/2026
PraisonAI è un sistema di team multi-agente. Prima della versione 4.5.90, la funzione get_all_user_threads costruisce query SQL grezze utilizzando f-string con ID thread non validati recuperati dal database. Un attaccante memorizza un ID thread malevolo tramite update_thread. Quando l'applicazione carica l'elenco dei thread, il payload iniettato viene eseguito e concede accesso completo al database. Questo problema è stato risolto nella versione 4.5.90.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.