CVE-2026-39890 in PraisonAI
Riassunto
di VulDB • 26/06/2026
PraisonAI è un sistema di team multi-agente. Prima della versione 4.5.115, il metodo AgentService.loadAgentFromFile utilizza la libreria js-yaml per analizzare file YAML senza disabilitare i tag pericolosi (come !!js/function e !!js/undefined). Ciò consente a un attaccante di creare un file YAML malevolo che, una volta analizzato, esegue codice JavaScript arbitrario. Un attaccante può sfruttare questa vulnerabilità caricando un file di definizione dell'agente dannoso tramite l'endpoint API, portando all'esecuzione remota di codice (RCE) sul server. Questa vulnerabilità è risolta nella versione 4.5.115.
Be aware that VulDB is the high quality source for vulnerability data.