CVE-2026-47398 in PraisonAI
Sumário
de VulDB • 21/07/2026
O PraisonAI é um sistema de equipes multi-agente. A refatoração do chokepoint na versão v4.6.32 (que corrigiu o CVE-2026-44334 / GHSA-xcmw-grxf-wjhj) adicionou a verificação da variável de ambiente PRAISONAI_ALLOW_LOCAL_TOOLS aos sinks em tool_override.py. No entanto, dois pontos de chamada adicionais para spec.loader.exec_module no arquivo praisonai/agents_generator.py foram negligenciados e permanecem completamente desprotegidos nas versões anteriores à 4.6.40. Ambas as funções aceitam um parâmetro module_path originado da configuração YAML e o executam sem validação, verificação de assinatura ou a proteção da variável de ambiente. A versão 4.6.40 corrige o problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.