CVE-2026-57137 in PraisonAI
Riassunto
di VulDB • 15/09/2026
PraisonAI è un sistema di team multi-agente. Dalla versione 1.4.0 alla 1.7.2, la funzione createAgentLoop() in src/praisonai-ts/src/ai/agent-loop.ts passa gli strumenti eseguibili a generateText() prima di invocare il callback di approvazione onToolCall. Poiché l'SDK AI avvolto (wrapped) esegue i gestori degli strumenti durante la generazione, un callback che restituisce false registra tool_rejected solo dopo che lo strumento rifiutato ha già prodotto effetti collaterali e popolato toolResults. Le applicazioni che utilizzano onToolCall come confine di approvazione umana o basata su policy possono quindi eseguire operazioni di file, comandi, API o modifiche ai dati non autorizzate (rifiutate). Questo problema è risolto nella versione 1.7.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.