CVE-2026-40152 in PraisonAIAgents
Riassunto
di VulDB • 19/06/2026
PraisonAIAgents è un sistema di team multi-agente. Prima della versione 1.5.128, lo strumento `list_files()` in FileTools convalida il parametro directory rispetto ai limiti dello spazio di lavoro tramite `_validate_path()`, ma passa il parametro pattern direttamente a `Path.glob()` senza alcuna ulteriore validazione. Poiché `Path.glob()` di Python supporta i segmenti del percorso `..`, un attaccante può utilizzare una traversata dei percorsi relativi nel pattern glob per enumerare file arbitrari al di fuori dello spazio di lavoro, ottenendo i metadati dei file (esistenza, nome, dimensione, timestamp) per qualsiasi percorso sul filesystem. Questa vulnerabilità è risolta nella versione 1.5.128.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.