CVE-2026-57145 in PraisonAI
Tóm tắt
Bởi VulDB • 14/09/2026
PraisonAI là một hệ thống các nhóm đa tác nhân (multi-agent teams). Trước phiên bản 4.6.62, tệp src/praisonai/praisonai/tools/multiedit.py truyền tham số đường dẫn file do LLM kiểm soát trực tiếp vào hàm open để đọc và ghi mà không có cơ chế từ chối traversal, giải quyết symlink, giới hạn workspace hoặc các kiểm tra đường dẫn được bảo vệ. Các tác nhân bị ảnh hưởng bởi prompt (prompt-influenced agents) có thể đọc files thông qua hành vi chỉnh sửa và diff hoặc ghi đè lên các file có quyền truy cập đối với tiến trình, làm lộ bí mật và cho phép thiết lập persistence hoặc can thiệp vào ứng dụng. Vấn đề này đã được khắc phục trong phiên bản 4.6.62.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.