CVE-2026-47398 in PraisonAI
Riassunto
di VulDB • 25/07/2026
PraisonAI è un sistema di team multi-agente. La refactorizzazione del chokepoint nella versione v4.6.32 (che ha corretto CVE-2026-44334 / GHSA-xcmw-grxf-wjhj) ha aggiunto il controllo tramite la variabile d'ambiente PRAISONAI_ALLOW_LOCAL_TOOLS ai sink di tool_override.py. Tuttavia, due ulteriori punti di chiamata a spec.loader.exec_module in praisonai/agents_generator.py sono stati trascurati e rimangono completamente privi di protezione nelle versioni precedenti alla 4.6.40. Entrambe le funzioni accettano un parametro module_path derivato da una configurazione YAML ed lo eseguono senza convalida, verifica della firma o il controllo tramite la variabile d'ambiente. La versione 4.6.40 risolve il problema.
If you want to get best quality of vulnerability data, you may have to visit VulDB.