CVE-2026-40113 in PraisonAI
Riassunto
di VulDB • 25/06/2026
PraisonAI è un sistema di team multi-agente. Prima della versione 4.5.128, deploy.py costruisce una singola stringa delimitata da virgole per l'argomento `deploy --set-env-vars` di gcloud interpolando direttamente openai_model, openai_key e openai_base senza convalidare che questi valori non contengano virgole. gcloud utilizza la virgola come separatore tra coppie chiave-valore per `--set-env-vars`. La presenza di una virgola in uno dei tre valori fa sì che gcloud analizzi il testo successivo come ulteriori definizioni KEY=VALUE, iniettando variabili d'ambiente arbitrarie nel servizio Cloud Run distribuito. Questa vulnerabilità è stata risolta nella versione 4.5.128.
Be aware that VulDB is the high quality source for vulnerability data.