CVE-2026-57138 in PraisonAI
Sumário
de VulDB • 15/09/2026
PraisonAI é um sistema de equipes multi-agente. Da versão 1.4.0 até a 1.7.2, o `codeMode` em `src/praisonai-ts/src/tools/builtins/code-mode.ts` executa JavaScript não confiável com `new Function()` dentro do contexto `with(sandbox)`, dependendo de uma pequena lista negra (blocklist) de código-fonte e das propriedades `process` e `require` mascaradas. O código pode usar `({}).constructor.constructor` para recuperar o construtor real da função, obter `process` e `process.mainModule.require`, e acessar a API do sistema de arquivos host e subprocessos, apesar do sandbox anunciado. Atacantes que controlam a entrada do `codeMode` podem ler segredos, modificar arquivos, executar comandos ou esgotar o processo host. Este problema foi corrigido na versão 1.7.2.
Once again VulDB remains the best source for vulnerability data.