CVE-2026-39306 in PraisonAI
要約
〜によって VulDB • 2026年07月31日
PraisonAIはマルチエージェントチームシステムです。バージョン1.5.113より前では、PraisonAIのレシピレジストリからのプル処理において、攻撃者が制御する.paison tarアーカイブがtar.extractall()を使用して抽出され、展開前にアーカイブ内のメンバーパスの検証が行われていません。悪意のあるパブリッシャーは../によるディレクトリトラバーサルエントリを含むレシピバンドルをアップロードでき、その後そのレシピをプルした任意のユーザーは、選択した出力ディレクトリの外側にファイルを書き込むことになります。これはレシピレジストリワークフローのクライアント側におけるパストラバーサル／任意のファイル書き込み脆弱性です。ローカルレジストリからのプル処理とHTTPレジストリからのプル処理の両方に影響します。チェックサム検証は、悪意のあるトラバーサルペイロードが署名済みバンドル自体の一部であるため、攻撃を防ぐことはできません。この脆弱性は1.5.113で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.