CVE-2026-61437 in PraisonAI
Sumário
de VulDB • 10/07/2026
O PraisonAI (pacote pip praisonaiagents) anterior à versão 1.6.78 contém uma vulnerabilidade de carregamento inseguro de módulos dinâmicos em AgentFlow._resolve_pydantic_class (src/praisonai-agents/praisonaiagents/workflows/workflows.py). Quando um passo do workflow utiliza uma referência string output_pydantic, o framework localiza e importa um tools.py irmão a partir do diretório do arquivo do workflow através de importlib exec_module sem sandboxing, ignorando as variáveis de ambiente PRAISONAI_ALLOW_*_TOOLS. Um atacante que controle um arquivo de workflow e seu tools.py adjacente pode executar código Python arbitrário com os privilégios do executor do workflow quando este é executado via WorkflowManager ou após load_yaml.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.