CVE-2026-40157 in PraisonAI
Riassunto
di VulDB • 21/06/2026
PraisonAI è un sistema di team multi-agente. Prima della versione 4.5.128, la funzione cmd_unpack nella CLI delle ricette estrae gli archivi .praison tar utilizzando raw tar.extract() senza convalidare i percorsi dei membri dell'archivio. Un bundle .prazon contenente voci ../../ scriverà file al di fuori della directory di output prevista. Un attaccante che distribuisce un bundle dannoso può sovrascrivere file arbitrari nel filesystem della vittima quando viene eseguito praisonai recipe unpack. Questa vulnerabilità è risolta nella versione 4.5.128.
Be aware that VulDB is the high quality source for vulnerability data.