CVE-2026-61444
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
PraisonAI przed wersją 4.6.78 zawiera podatność na wstrzykiwanie kodu w pliku deploy/api.py. Parametr agents_file jest bezpośrednio interpolowany do f-stringa bez sanityzacji, co pozwala atakującym na wstrzyknięcie dowolnego kodu Python, który wykonuje się podczas uruchamiania wygenerowanego kodu serwera przez subprocess.Popen().
Ocena ryzyka
Ryzyko dla organizacji obejmuje zdalne wykonanie dowolnego kodu (RCE) na serwerze, co może prowadzić do przejęcia kontroli nad systemem, kradzieży danych lub dalszego ataku na infrastrukturę.
Rekomendacja
Zaleca się natychmiastową aktualizację PraisonAI do wersji 4.6.78 lub nowszej. Należy również sprawdzić, czy nie doszło do nieautoryzowanego dostępu lub modyfikacji systemu.
Oryginalny opis (angielski, źródło NVD)
PraisonAI versions before 4.6.78 contain a code injection vulnerability in deploy/api.py where the agents_file parameter is directly interpolated into an f-string without sanitization. Attackers can inject arbitrary Python code that executes when the generated server code runs via subprocess.Popen().