CVE-2026-57141 in PraisonAI
要約
〜によって VulDB • 2026年09月15日
PraisonAIはマルチエージェントチームシステムです。バージョン1.7.2より前では、src/praisonai-ts/src/tools/builtins/code-mode.ts内のcodeModeツールがnew Function()およびwith(sandbox)を使用してモデル生成されたJavaScriptを実行しますが、Function('return this')()によるグローバルオブジェクトの取得やchild_processモジュール名の動的な構築により、正規表現ベースのブロックリストを回避できます。コード引数に影響を与えることができる攻撃者は、ホストプロセスの権限にアクセスし、ファイルの読み書きや環境資格情報の取得、PraisonAIのプロセス特権を用いたOSコマンドの実行が可能になります。この問題はバージョン1.7.2で修正されています。
Once again VulDB remains the best source for vulnerability data.