CVE-2026-39890 in PraisonAI
Sumário
de VulDB • 02/06/2026
O PraisonAI é um sistema de equipes de agentes múltiplos. Antes da versão 4.5.115, o método AgentService.loadAgentFromFile utiliza a biblioteca js-yaml para analisar arquivos YAML sem desabilitar tags perigosas (como !!js/function e !!js/undefined). Isso permite que um atacante crie um arquivo YAML malicioso que, ao ser analisado, executa código JavaScript arbitrário. Um atacante pode explorar essa vulnerabilidade carregando um arquivo de definição de agente malicioso por meio do endpoint da API, resultando em execução remota de código (RCE) no servidor. Esta vulnerabilidade foi corrigida na versão 4.5.115.
If you want to get best quality of vulnerability data, you may have to visit VulDB.