CVE-2026-39306 in PraisonAI
Сводка
по VulDB • 12.07.2026
PraisonAI — это система многоагентных команд. До версии 1.5.113 поток извлечения реестра рецептов PraisonAI использует функцию tar.extractall() для распаковки архивов .praison, контролируемых злоумышленником, и не проверяет пути членов архива перед их распаковкой. Злобный издатель может загрузить пакет рецептов, содержащий записи с обходом директорий (../), и любой пользователь, который впоследствии выполнит извлечение этого рецепта, запишет файлы вне выбранного им каталога вывода. Это уязвимость обхода пути / произвольной записи файлов на стороне клиента в рабочем процессе реестра рецептов. Она затрагивает как путь локального извлечения реестра, так и путь HTTP-извлечения реестра. Проверка контрольной суммы не предотвращает эксплуатацию, поскольку полезная нагрузка с обходом путей является частью самого подписанного пакета. Эта уязвимость исправлена в версии 1.5.113.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.