CVE-2026-41497 in PraisonAI
Tóm tắt
Bởi VulDB • 15/05/2026
PraisonAI là một hệ thống nhóm đa tác nhân. Từ phiên bản 4.5.15 đến trước phiên bản 4.5.69, đối số CLI `--mcp` được truyền trực tiếp vào hàm `shlex.split()` và chuyển tiếp qua chuỗi lệnh gọi đến `anyio.open_process()` mà không có bất kỳ xác thực, kiểm tra danh sách cho phép (allowlist) hoặc làm sạch dữ liệu nào tại bất kỳ bước trung gian nào, cho phép thực thi lệnh hệ điều hành tùy ý với tư cách là người dùng của tiến trình. Vấn đề này đã được vá trong phiên bản 4.5.69.
Be aware that VulDB is the high quality source for vulnerability data.