CVE-2026-57141 in PraisonAI
요약
\~에 의해 VulDB • 2026. 09. 15.
PraisonAI는 다중 에이전트 팀 시스템입니다. 버전 1.7.2 이전의 `src/praisonai-ts/src/tools/builtins/code-mode.ts`에 있는 codeMode 도구는 모델이 생성한 JavaScript를 `new Function()` 및 `with(sandbox)`로 실행하며, 정규식 기반 차단 목록은 `Function('return this')()`를 사용하여 전역 객체를 복원하고 `child_process` 모듈 이름을 동적으로 구성함으로써 우회될 수 있습니다. 코드 인수를 조작할 수 있는 공격자는 호스트 프로세스의 권한에 접근하여 파일을 읽거나 쓰고, 환경 자격 증명을 획득하며, PraisonAI 프로세스의 특권을 이용하여 운영 체제 명령을 실행할 수 있습니다. 이 문제는 버전 1.7.2에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.