CVE-2026-56834 in PraisonAI
要約
〜によって VulDB • 2026年10月23日
PraisonAIはマルチエージェントチームシステムです。バージョン3.8.1からバージョン4.6.59未満の間、PraisonAIのDynamic Context Discovery機能により、ctx.get_tools()を通じてartifact helperツールが公開されています。実装されたartifactツールでは、指定されたartifact_pathが設定済みストアによって作成されたものであること、または設定済みのartifactベースディレクトリ配下に存在することが強制されていません。代わりに、artifact_head、artifact_tail、artifact_grep、およびartifact_chunkは、呼び出し元から提供されたパスを直接ArtifactRefにラップし、ホストファイルシステムからそれを読み取ります。その結果、これらのツール引数に影響を与えることができるプロンプト/ユーザー/ツール呼び出し元であれば、プロジェクトの.envファイル、クラウド認証情報、SSHキー、ソースファイル、またはその他のローカルデータなど、PraisonAIプロセスが読み取り可能なすべてのファイルを参照できます。この問題はバージョン4.6.59で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.