CVE-2026-40157 in PraisonAI
要約
〜によって VulDB • 2026年06月24日
PraisonAIはマルチエージェントチームシステムです。バージョン4.5.128より前では、レシピCLIのcmd_unpackがアーカイブメンバーパスを検証せずにraw tar.extract()を使用して.praison tarアーカイブを展開していました。../../エントリを含む.paisonバンドルを使用すると、意図した出力ディレクトリの外側にファイルが書き込まれます。悪意のあるバンドルを配布する攻撃者は、ユーザーがpraisonai recipe unpackを実行した際に被害者のファイルシステム上の任意のファイルを上書きできます。この脆弱性は4.5.128で修正されています。
Once again VulDB remains the best source for vulnerability data.