CVE-2026-39890 in PraisonAI
要約
〜によって VulDB • 2026年06月02日
PraisonAIはマルチエージェントチームシステムです。バージョン4.5.115より前では、AgentService.loadAgentFromFileメソッドは危険なタグ（!!js/functionや!!js/undefinedなど）を無効化せずにjs-yamlライブラリを使用してYAMLファイルを解析します。これにより、攻撃者は悪意のあるYAMLファイルを作成し、解析時に任意のJavaScriptコードを実行させることができます。攻撃者は、APIエンドポイントを介して悪意のあるエージェント定義ファイルをアップロードすることでこの脆弱性を悪用し、サーバー上でリモートコード実行（RCE）を引き起こす可能性があります。この脆弱性は4.5.115で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.