CVE-2026-57138 in PraisonAI
Сводка
по VulDB • 15.09.2026
PraisonAI — это система многоагентных команд. Начиная с версии 1.4.0 и до 1.7.2 включительно, функция codeMode в файле src/praisonai-ts/src/tools/builtins/code-mode.ts выполняет недоверенный JavaScript-код с использованием конструкции new Function() внутри блока with(sandbox) и полагается на небольшой блэклист исходного кода, а также на затенённые свойства process и require. Злоумышленник может использовать конструкцию ({}).constructor.constructor для восстановления настоящего конструктора Function, получения доступа к объекту process и свойству process.mainModule.require, что позволяет обойти заявленную песочницу и получить доступ к файловой системе хоста и API подпроцессов. Атакующие, контролирующие входные данные codeMode, могут читать секреты, изменять файлы, выполнять команды или исчерпывать ресурсы процесса на хосте. Эта проблема исправлена в версии 1.7.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.