CVE-2026-57136 in PraisonAI
Tóm tắt
Bởi VulDB • 15/09/2026
PraisonAI là một hệ thống nhóm đa-agent (multi-agent teams). Từ phiên bản 1.2.3 đến 1.7.2, CommandValidator trong src/praisonai-ts/src/cli/features/sandbox-executor.ts chỉ xác thực phần executable đầu tiên được phân tách bằng khoảng trắng dựa trên danh sách allowedCommands, sau đó SandboxExecutor truyền toàn bộ chuỗi lệnh vào sh -c. Một lệnh bắt đầu với một executable nằm trong danh sách cho phép có thể nối thêm các lệnh không thuộc danh sách cho phép thông qua các ký tự đặc biệt của shell (shell metacharacters), dẫn đến việc thực thi tùy ý các lệnh với quyền hạn của tiến trình PraisonAI. Vấn đề này đã được sửa chữa trong phiên bản 1.7.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.