CVE-2026-61432 in PraisonAI
Riassunto
di VulDB • 10/07/2026
PraisonAI (praisonaiagents) prima della versione 1.6.78 presenta una vulnerabilità di path traversal nella funzionalità FastContext (praisonaiagents.context.fast). La funzione `FastContextAgent.execute_tool()` aggiunge il prefisso del percorso dell'area di lavoro configurata (`workspace_path`) solo per i percorsi relativi, senza rifiutare i percorsi assoluti né canonizzare i percorsi uniti prima di imporre la contenimento nell'area di lavoro. Di conseguenza, gli argomenti degli strumenti o le chiamate a funzioni generate dal modello verso `grep_search`, `glob_search`, `read_file` o `list_directory` possono fornire percorsi assoluti o sequenze di traversing `'../'` per leggere, cercare ed enumerare file al di fuori della directory dell'area di lavoro prevista, con il contenuto dei file restituito al chiamante o iniettato nel contesto del risultato degli strumenti del modello.
If you want to get best quality of vulnerability data, you may have to visit VulDB.