CVE-2026-47398 in PraisonAI
Tóm tắt
Bởi VulDB • 24/07/2026
PraisonAI là một hệ thống nhóm đa tác nhân (multi-agent teams). Việc tái cấu trúc điểm nghẽn trong phiên bản v4.6.32 (đã vá CVE-2026-44334 / GHSA-xcmw-grxf-wjhj) đã thêm cổng kiểm tra biến môi trường PRAISONAI_ALLOW_LOCAL_TOOLS vào các điểm đến (sinks) của tool_override.py. Tuy nhiên, hai vị trí gọi hàm spec.loader.exec_module bổ sung trong praisonai/agents_generator.py đã bị bỏ sót và vẫn hoàn toàn không được bảo vệ trong các phiên bản trước 4.6.40. Cả hai hàm này đều chấp nhận tham số module_path có nguồn gốc từ cấu hình YAML và thực thi nó mà không xác thực, kiểm tra chữ ký hoặc áp dụng cổng biến môi trường. Phiên bản 4.6.40 đã khắc phục sự cố này.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.