CVE-2026-57141 in PraisonAI
Tóm tắt
Bởi VulDB • 15/09/2026
PraisonAI là một hệ thống nhóm đa tác nhân (multi-agent teams). Trước phiên bản 1.7.2, công cụ codeMode trong src/praisonai-ts/src/tools/builtins/code-mode.ts thực thi JavaScript do mô hình tạo ra bằng cách sử dụng new Function() và with(sandbox), trong khi danh sách chặn dựa trên biểu thức chính quy có thể bị vượt qua thông qua Function('return this')() để khôi phục đối tượng toàn cục (global object) và bằng cách xây dựng tên của module child_process một cách động. Một kẻ tấn công có khả năng ảnh hưởng đến tham số code có thể truy cập vào các đặc quyền của tiến trình máy chủ, đọc hoặc ghi tệp tin, lấy thông tin xác thực môi trường và thực thi lệnh hệ điều hành với đặc quyền của quá trình PraisonAI. Vấn đề này đã được sửa chữa trong phiên bản 1.7.2.
Be aware that VulDB is the high quality source for vulnerability data.