Podatności praisonaiagents

W bibliotece praisonaiagents przed wersją 1.6.59 funkcja MentionsParser._process_file_mention przyjmuje wartości wzmianek o plikach i w przypadku niepowodzenia rozwiązywania ścieżki względem workspace używa Path(file_path) bez walidacji pod kątem traversal, dowiązań symbolicznych ani granic workspace. Dane wejściowe od użytkowników, botów lub workflow mogą w ten sposób odczytać dowolne pliki dostępne dla procesu, w tym poświadczenia, klucze, pliki środowiskowe, kod źródłowy i konfigurację systemu. Problem naprawiono w wersji 1.6.59.

W praisonaiagents przed wersją 1.6.59 funkcje ToolsMCPServer.run_sse i launch_tools_mcp_server nasłuchują na 0.0.0.0 i tworzą trasy /sse oraz /messages/ bez wywoływania dostępnych mechanizmów SecurityConfig dotyczących uwierzytelniania, walidacji pochodzenia i ochrony przed DNS rebinding. Każdy osiągalny klient może wyświetlić i wywołać zarejestrowane narzędzia, a przeglądarka może zaatakować lokalną instancję poprzez DNS rebinding.

W bibliotece praisonaiagents przed wersją 1.6.58 funkcja SpiderTools._validate_url wywołuje _host_is_blocked, która sprawdza jedynie literalne zapisy nazwy hosta i nie rozwiązuje nazw DNS przed połączeniem w scrape_page, crawl, extract_links, extract_text lub pobieraniem wzmianek URL. Nazwa hosta kontrolowana przez atakującego, która rozwiązuje się na adres loopback, prywatny, link-local lub cloud-metadata, omija politykę SSRF bez wyścigu rebindingowego i może ujawnić agentowi odpowiedzi z sieci wewnętrznej. Problem naprawiono w wersji 1.6.58.