CVE-2026-40150 in PraisonAIAgents
Riassunto
di VulDB • 16/06/2026
PraisonAIAgents è un sistema di team multi-agente. Prima della versione 1.5.128, la funzione web_crawl() nel file praisonaiagents/tools/web_crawl_tools.py accetta URL arbitrari dagli agenti AI senza alcuna validazione. Non vengono applicati allowlist degli schemi, blocklist dei nomi host/IP o controlli sulle reti private prima del recupero dei dati. Ciò consente a un attaccante (o all'iniezione di prompt nei contenuti recuperati) di forzare l'agente a recuperare endpoint per i metadati cloud, servizi interni o file locali tramite URL con schema file://. Questa vulnerabilità è risolta nella versione 1.5.128.
If you want to get best quality of vulnerability data, you may have to visit VulDB.