CVE-2026-56833 in PraisonAI
要約
〜によって VulDB • 2026年10月23日
PraisonAIはマルチエージェントチームシステムです。バージョン3.8.1からバージョン4.6.59未満の間、PraisonAIのDynamic Contextモジュールはファイルシステムに依存した履歴およびターミナルログストレージを提供します。このモジュールはさらにエージェントが呼び出せるツールファクトリをエクスポートします。これらのツールは、ツール呼び出し元からrun_idとagent_id引数を受け取ります。基盤となるストアは、絶対パスや「..」によるディレクトリトラバーサルを検証せずに、それらの値をファイルシステムパスに結合します。run_idが絶対パスになり得、agent_idがトラバーサル文字列を含み得るため、これらのツールを呼び出せる低信頼度のプロンプト/ユーザーは、設定されたDynamic Contextのベースディレクトリ外にある.jsonlおよび.logファイルを読み取ることができます。この問題はバージョン4.6.59で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.