CVE-2026-57129
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
W bibliotece praisonaiagents przed wersją 1.6.59 funkcja MentionsParser._process_file_mention przyjmuje wartości wzmianek o plikach i w przypadku niepowodzenia rozwiązywania ścieżki względem workspace używa Path(file_path) bez walidacji pod kątem traversal, dowiązań symbolicznych ani granic workspace. Dane wejściowe od użytkowników, botów lub workflow mogą w ten sposób odczytać dowolne pliki dostępne dla procesu, w tym poświadczenia, klucze, pliki środowiskowe, kod źródłowy i konfigurację systemu. Problem naprawiono w wersji 1.6.59.
Ocena ryzyka
Atakujący może odczytać poufne pliki z serwera, na którym działa agent, co prowadzi do wycieku poświadczeń, kluczy i danych konfiguracyjnych. Może to umożliwić dalszą eskalację i przejęcie kontroli nad środowiskiem.
Rekomendacja
Zaktualizuj pakiet praisonaiagents do wersji 1.6.59 lub nowszej. Do czasu aktualizacji ogranicz dostęp do agenta i rozważ walidację ścieżek plików po stronie aplikacji.
Inne podatności w praisonaiagents
Zobacz wszystkie- CVE-2026-57123Krytyczne
W praisonaiagents przed wersją 1.6.59 funkcje ToolsMCPServer.run_sse i launch_tools_mcp_server nasłuchują na 0.0.0.0 i tworzą trasy /sse oraz /messages/ bez wywoływania dostępnych mechanizmów SecurityConfig dotyczących uwierzytelniania, walidacji pochodzenia i ochrony przed DNS rebinding. Każdy osiągalny klient może wyświetlić i wywołać zarejestrowane narzędzia, a przeglądarka może zaatakować lokalną instancję poprzez DNS rebinding.
- CVE-2026-57126Wysokie
W bibliotece praisonaiagents przed wersją 1.6.58 funkcja SpiderTools._validate_url wywołuje _host_is_blocked, która sprawdza jedynie literalne zapisy nazwy hosta i nie rozwiązuje nazw DNS przed połączeniem w scrape_page, crawl, extract_links, extract_text lub pobieraniem wzmianek URL. Nazwa hosta kontrolowana przez atakującego, która rozwiązuje się na adres loopback, prywatny, link-local lub cloud-metadata, omija politykę SSRF bez wyścigu rebindingowego i może ujawnić agentowi odpowiedzi z sieci wewnętrznej. Problem naprawiono w wersji 1.6.58.
- CVE-2026-40160Średnie
PraisonAIAgents to system zespołów wieloagentowych. W wersjach przed 1.5.128 ścieżka awaryjna web_crawl z użyciem httpx przekazuje URL-e dostarczone przez użytkownika bezpośrednio do httpx.AsyncClient.get() z follow_redirects=True i bez walidacji hosta. Agent LLM nakłoniony do indeksowania wewnętrznego URL-a może dotrzeć do punktów końcowych metadanych chmury (169.254.169.254), usług wewnętrznych i localhost, a treść odpowiedzi jest zwracana agentowi i może pojawić się w danych wyjściowych widocznych dla atakującego.
- CVE-2026-40152Średnie
PraisonAIAgents w wersjach przed 1.5.128 zawiera lukę w narzędziu list_files() w FileTools. Parametr pattern jest przekazywany bezpośrednio do Path.glob() bez walidacji, co pozwala na path traversal i wyliczenie dowolnych plików poza workspace, ujawniając metadane plików.
- CVE-2026-40117Średnie
W PraisonAIAgents przed wersją 1.5.128 funkcja read_skill_file() w skill_tools.py pozwala na odczyt dowolnych plików z systemu plików poprzez nieograniczony parametr skill_path. W przeciwieństwie do innych funkcji nie ma tu ograniczeń obszaru roboczego ani wymogu zatwierdzenia krytycznego.
Oryginalny opis (angielski, źródło NVD)
PraisonAI is a multi-agent teams system. Prior to praisonaiagents 1.6.59, MentionsParser._process_file_mention accepts file-mention values and falls back from workspace-relative resolution to Path(file_path) without traversal, symlink, or workspace-boundary validation. Prompt input from users, bots, or workflows can therefore read arbitrary files accessible to the process, including credentials, keys, environment files, source code, and system configuration. This issue is fixed in praisonaiagents 1.6.59.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS