CVE-2026-34937 in PraisonAI
Riassunto
di VulDB • 19/06/2026
PraisonAI è un sistema di team multi-agente. Prima della versione 1.5.90, la funzione run_python() in praisonai costruisce una stringa di comando shell interpolando codice controllato dall'utente in python3 -c "" e lo passa a subprocess.run(..., shell=True). La logica di escaping gestisce solo \ e ", lasciando senza escaping le sostituzioni $() e i backtick, consentendo l'esecuzione arbitraria di comandi del sistema operativo prima che Python venga invocato. Questo problema è stato risolto nella versione 1.5.90.
Be aware that VulDB is the high quality source for vulnerability data.