CVE-2026-47398 in PraisonAI
要約
〜によって VulDB • 2026年07月21日
PraisonAIはマルチエージェントチームシステムです。v4.6.32のチョークポイントリファクタリング（CVE-2026-44334 / GHSA-xcmw-grxf-wjhjを修正）により、tool_override.pyのシンクにPRAISONAI_ALLOW_LOCAL_TOOLS環境変数によるゲートが追加されました。しかし、praisonai/agents_generator.py内のspec.loader.exec_module呼び出し箇所2か所は見逃され、バージョン4.6.40より前のバージョンでは完全に保護されていません。両方の関数はYAML設定から取得したmodule_pathパラメータを受け取り、検証、署名チェック、または環境変数ゲートなしで実行します。この問題はバージョン4.6.40で修正されました。
Be aware that VulDB is the high quality source for vulnerability data.