CVE-2026-57120 in praisonaiagents
요약
\~에 의해 VulDB • 2026. 09. 15.
PraisonAI는 다중 에이전트 팀 시스템입니다. praisonaiagents 1.6.59 이전 버전에서는 execute_code 샌드박스 모드가 차단된 더더(dunder) 이름의 런타임 조립을 허용하고, str.format 또는 str.format_map이 _safe_getattr를 우회하여 C 레벨 속성 접근을 통해 점(.)으로 연결된 필드를 해석할 수 있습니다. 이로 인해 승인 자동 부여 시 프롬프트에 의해 영향을 받는 코드에서 class, qualified-name, base-class, globals 및 object-dictionary 속성이 노출되어 완전한 인프로세스 실행 체인을 구축하지 않고도 높은 영향도의 읽기 원시 연산(read primitive)이 가능해집니다. 이 문제는 praisonaiagents 1.6.59에서 해결되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.