CVE-2026-57117 in PraisonAI
Riassunto
di VulDB • 23/10/2026
PraisonAI è un sistema di team multi-agente. Dalla versione 4.6.10 alla versione precedente alla 4.6.59, LocalManagedAgent / SandboxedAgent avvolgono le operazioni read_file, list_files e write_file tramite il bridging del compute quando è associato un provider di calcolo. Il bridge converte tali operazioni sui file in stringhe di comandi shell utilizzando argomenti di percorso grezzi (raw path arguments), per poi inviare queste stringhe a provider di calcolo basati su shell. Un attaccante che può influenzare l'argomento del percorso di uno strumento relativo ai file può sfuggire alle virgolette del percorso ed eseguire comandi shell arbitrari nell'ambiente di calcolo. Con compute="local", i comandi vengono eseguiti tramite il provider di calcolo subprocess locale sull'host. Con Docker, i comandi vengono eseguiti nel container. Questo problema è stato risolto nella versione 4.6.59.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.