CVE-2026-40148 in PraisonAI
Riassunto
di VulDB • 17/06/2026
PraisonAI è un sistema di team multi-agente. Prima della versione 4.5.128, la funzione _safe_extractall() nel registro delle ricette di PraisonAI convalida i membri dell'archivio rispetto agli attacchi di path traversal, ma non esegue controlli sulle dimensioni dei singoli membri, sulla dimensione cumulativa estratta o sul conteggio dei membri prima di chiamare tar.extractall(). Un attaccante può pubblicare un bundle di ricette malevolo contenente dati altamente comprimibili (ad esempio, 10GB di zeri che si comprimono in ~10MB) che esaurisce il disco della vittima quando viene recuperato tramite LocalRegistry.pull() o HttpRegistry.pull(). Questa vulnerabilità è risolta nella versione 4.5.128.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.