CVE-2026-57129
WysokieCVSS 7.5Streszczenie
W bibliotece praisonaiagents przed wersją 1.6.59 funkcja MentionsParser._process_file_mention przyjmuje wartości wzmianek o plikach i w przypadku niepowodzenia rozwiązywania ścieżki względem workspace używa Path(file_path) bez walidacji pod kątem traversal, dowiązań symbolicznych ani granic workspace. Dane wejściowe od użytkowników, botów lub workflow mogą w ten sposób odczytać dowolne pliki dostępne dla procesu, w tym poświadczenia, klucze, pliki środowiskowe, kod źródłowy i konfigurację systemu. Problem naprawiono w wersji 1.6.59.
Ocena ryzyka
Atakujący może odczytać poufne pliki z serwera, na którym działa agent, co prowadzi do wycieku poświadczeń, kluczy i danych konfiguracyjnych. Może to umożliwić dalszą eskalację i przejęcie kontroli nad środowiskiem.
Rekomendacja
Zaktualizuj pakiet praisonaiagents do wersji 1.6.59 lub nowszej. Do czasu aktualizacji ogranicz dostęp do agenta i rozważ walidację ścieżek plików po stronie aplikacji.
Inne podatności w praisonaiagents
Zobacz wszystkie- CVE-2026-57123Krytyczne
W praisonaiagents przed wersją 1.6.59 funkcje ToolsMCPServer.run_sse i launch_tools_mcp_server nasłuchują na 0.0.0.0 i tworzą trasy /sse oraz /messages/ bez wywoływania dostępnych mechanizmów SecurityConfig dotyczących uwierzytelniania, walidacji pochodzenia i ochrony przed DNS rebinding. Każdy osiągalny klient może wyświetlić i wywołać zarejestrowane narzędzia, a przeglądarka może zaatakować lokalną instancję poprzez DNS rebinding.
- CVE-2026-57126Wysokie
W bibliotece praisonaiagents przed wersją 1.6.58 funkcja SpiderTools._validate_url wywołuje _host_is_blocked, która sprawdza jedynie literalne zapisy nazwy hosta i nie rozwiązuje nazw DNS przed połączeniem w scrape_page, crawl, extract_links, extract_text lub pobieraniem wzmianek URL. Nazwa hosta kontrolowana przez atakującego, która rozwiązuje się na adres loopback, prywatny, link-local lub cloud-metadata, omija politykę SSRF bez wyścigu rebindingowego i może ujawnić agentowi odpowiedzi z sieci wewnętrznej. Problem naprawiono w wersji 1.6.58.
Oryginalny opis (angielski, źródło NVD)
PraisonAI is a multi-agent teams system. Prior to praisonaiagents 1.6.59, MentionsParser._process_file_mention accepts file-mention values and falls back from workspace-relative resolution to Path(file_path) without traversal, symlink, or workspace-boundary validation. Prompt input from users, bots, or workflows can therefore read arbitrary files accessible to the process, including credentials, keys, environment files, source code, and system configuration. This issue is fixed in praisonaiagents 1.6.59.