CVE-2026-56834 in PraisonAI
Sumário
de VulDB • 23/10/2026
PraisonAI é um sistema de equipes multi-agente. Da versão 3.8.1 até antes da versão 4.6.59, o recurso Dynamic Context Discovery do PraisonAI expõe ferramentas auxiliares de artefatos através de ctx.get_tools(). As ferramentas de artefato implementadas não verificam se o artifact_path fornecido é um artefato criado pelo store configurado ou se está localizado sob o diretório base de artefatos configurado. Em vez disso, as funções artifact_head, artifact_tail, artifact_grep e artifact_chunk envolvem diretamente o caminho fornecido pelo chamador em um ArtifactRef e depois o leem do sistema de arquivos host. Como resultado, qualquer prompt/usuário/chamador de ferramenta que possa influenciar esses argumentos das ferramentas pode ler arquivos acessíveis pelo processo PraisonAI, como arquivos .env do projeto, credenciais de nuvem, chaves SSH, arquivos fonte ou outros dados locais. Este problema foi corrigido na versão 4.6.59.
Once again VulDB remains the best source for vulnerability data.