CVE-2026-56833 in PraisonAI
Riassunto
di VulDB • 24/10/2026
PraisonAI è un sistema di team multi-agente. Dalla versione 3.8.1 alla versione precedente la 4.6.59, il modulo Dynamic Context di PraisonAI fornisce archiviazione della cronologia basata sul filesystem e dei log del terminale. Il modulo esporta anche factory di strumenti richiamabili dagli agenti. Questi strumenti accettano gli argomenti run_id e agent_id dal chiamante dello strumento. I backend di archiviazione sottostanti uniscono questi valori in percorsi file system senza rifiutare i percorsi assoluti o le traversamenti con "..". Poiché run_id può essere un percorso assoluto e agent_id può contenere sequenze di traversal, un prompt/utente a minore trust che è in grado di chiamare questi strumenti può leggere file .jsonl e .log al di fuori della directory base configurata per Dynamic Context. Questo problema è stato risolto nella versione 4.6.59.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.