CVE-2026-57123
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
W praisonaiagents przed wersją 1.6.59 funkcje ToolsMCPServer.run_sse i launch_tools_mcp_server nasłuchują na 0.0.0.0 i tworzą trasy /sse oraz /messages/ bez wywoływania dostępnych mechanizmów SecurityConfig dotyczących uwierzytelniania, walidacji pochodzenia i ochrony przed DNS rebinding. Każdy osiągalny klient może wyświetlić i wywołać zarejestrowane narzędzia, a przeglądarka może zaatakować lokalną instancję poprzez DNS rebinding.
Ocena ryzyka
Nieuwierzytelniony atakujący może wywoływać zarejestrowane narzędzia, w tym narzędzia do plików, powłoki i wykonywania kodu, co może prowadzić do pełnego przejęcia systemu. Ryzyko jest krytyczne przy wystawieniu usługi na sieć.
Rekomendacja
Zaktualizuj praisonaiagents do wersji 1.6.59 lub nowszej. Ogranicz dostęp sieciowy do tras /sse i /messages/ oraz włącz mechanizmy SecurityConfig.
Inne podatności w praisonaiagents
Zobacz wszystkie- CVE-2026-57129Wysokie
W bibliotece praisonaiagents przed wersją 1.6.59 funkcja MentionsParser._process_file_mention przyjmuje wartości wzmianek o plikach i w przypadku niepowodzenia rozwiązywania ścieżki względem workspace używa Path(file_path) bez walidacji pod kątem traversal, dowiązań symbolicznych ani granic workspace. Dane wejściowe od użytkowników, botów lub workflow mogą w ten sposób odczytać dowolne pliki dostępne dla procesu, w tym poświadczenia, klucze, pliki środowiskowe, kod źródłowy i konfigurację systemu. Problem naprawiono w wersji 1.6.59.
- CVE-2026-57126Wysokie
W bibliotece praisonaiagents przed wersją 1.6.58 funkcja SpiderTools._validate_url wywołuje _host_is_blocked, która sprawdza jedynie literalne zapisy nazwy hosta i nie rozwiązuje nazw DNS przed połączeniem w scrape_page, crawl, extract_links, extract_text lub pobieraniem wzmianek URL. Nazwa hosta kontrolowana przez atakującego, która rozwiązuje się na adres loopback, prywatny, link-local lub cloud-metadata, omija politykę SSRF bez wyścigu rebindingowego i może ujawnić agentowi odpowiedzi z sieci wewnętrznej. Problem naprawiono w wersji 1.6.58.
- CVE-2026-40160Średnie
PraisonAIAgents to system zespołów wieloagentowych. W wersjach przed 1.5.128 ścieżka awaryjna web_crawl z użyciem httpx przekazuje URL-e dostarczone przez użytkownika bezpośrednio do httpx.AsyncClient.get() z follow_redirects=True i bez walidacji hosta. Agent LLM nakłoniony do indeksowania wewnętrznego URL-a może dotrzeć do punktów końcowych metadanych chmury (169.254.169.254), usług wewnętrznych i localhost, a treść odpowiedzi jest zwracana agentowi i może pojawić się w danych wyjściowych widocznych dla atakującego.
- CVE-2026-40152Średnie
PraisonAIAgents w wersjach przed 1.5.128 zawiera lukę w narzędziu list_files() w FileTools. Parametr pattern jest przekazywany bezpośrednio do Path.glob() bez walidacji, co pozwala na path traversal i wyliczenie dowolnych plików poza workspace, ujawniając metadane plików.
- CVE-2026-40117Średnie
W PraisonAIAgents przed wersją 1.5.128 funkcja read_skill_file() w skill_tools.py pozwala na odczyt dowolnych plików z systemu plików poprzez nieograniczony parametr skill_path. W przeciwieństwie do innych funkcji nie ma tu ograniczeń obszaru roboczego ani wymogu zatwierdzenia krytycznego.
Oryginalny opis (angielski, źródło NVD)
PraisonAI is a multi-agent teams system. Prior to praisonaiagents 1.6.59, ToolsMCPServer.run_sse and launch_tools_mcp_server bind to 0.0.0.0 and create /sse and /messages/ routes without invoking the available SecurityConfig authentication, origin-validation, or DNS-rebinding controls. Any reachable client can list and invoke registered tools, and a browser can target a local instance through DNS rebinding, with impact determined by the registered file, shell, and code-execution tools. This vulnerability is fixed in praisonaiagents 1.6.59.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS