Podatności PraisonAI

Podatność w PraisonAI przed wersją 4.6.78 umożliwia ominięcie listy dozwolonych poleceń powłoki poprzez użycie wbudowanych akcji find (-exec, -execdir, -delete). Atakujący może wykonać nieautoryzowane polecenia, odczytać lub usunąć pliki bez uruchamiania filtrów znaków specjalnych.

Podatność typu path traversal w bibliotece PraisonAI (praisonaiagents) przed wersją 1.6.78 w funkcji FastContext. Funkcja FastContextAgent.execute_tool() nie sprawdza poprawnie ścieżek bezwzględnych ani nie kanonizuje ścieżek względnych, co pozwala na odczyt, przeszukiwanie i wyliczanie plików poza dozwolonym katalogiem roboczym.

PraisonAI przed wersją 4.6.78 zawiera podatność na przechodzenie po ścieżkach w komponencie ContextGatherer, który nie waliduje ścieżek dołączanych w plikach .praisoncontext i .praisoninclude. Atakujący mogą podać ścieżki bezwzględne lub sekwencje przejścia do katalogu nadrzędnego, aby odczytać dowolne pliki poza obszarem roboczym i dołączyć ich zawartość do wygenerowanego pakietu kontekstu.

PraisonAI przed wersją 4.6.78 zawiera nieuwierzytelnioną podatność na fałszowanie żądań po stronie serwera (SSRF) w endpointcie Jobs API /api/v1/runs. Parametr webhook_url jest walidowany w momencie żądania, ale ponownie rozwiązywany w momencie połączenia, co pozwala atakującym na wykorzystanie ponownego wiązania DNS do dotarcia do wewnętrznych usług w ramach ślepego ataku SSRF.

Podatność w pakiecie PraisonAI (praisonaiagents) przed wersją 1.6.78 pozwala na automatyczne ładowanie konfiguracji z pliku .praisonai/config.toml bez walidacji ścieżki output.output_file. Atakujący może ustawić tę ścieżkę na absolutną lub zawierającą '..', co przy wywołaniu agent.start() bez parametru output prowadzi do nadpisania plików poza katalogiem projektu.

W systemie multi-agentowym PraisonAI przed wersją 4.6.37 występuje luka, która pozwala na wykorzystanie symlinków do zapisu dowolnych danych w wybranej lokalizacji na systemie ofiary. Problem dotyczy braku walidacji dla member.linkname oraz nieodrzucania członków symlink/hardlink.

W systemie multi-agentowym PraisonAI, w wersjach od 4.5.139 do przed 4.6.32, występuje luka związana z nieautoryzowanym importem plików. W pliku tool_override.py brak jest zabezpieczeń, co pozwala na zdalne wywołanie kodu przez atakującego.

W PraisonAI przed wersją 0.1.6, gdy PLATFORM_JWT_SECRET nie jest ustawione, używany jest publiczny klucz deweloperski dev-secret-change-me do podpisywania HS256, a zabezpieczenia startowe i wydawania tokenów są wyłączone, ponieważ PLATFORM_ENV domyślnie przyjmuje wartość dev. Nieuwierzytelniony atakujący może podpisać JWT z dowolną wartością sub, który zostanie zaakceptowany jako tożsamość, umożliwiając podszycie się pod użytkownika lub właściciela obszaru roboczego.

W PraisonAI przed wersją 0.1.6, gdy PLATFORM_JWT_SECRET nie jest ustawione, JWT_SECRET przyjmuje publiczną wartość dev-secret-change-me, a zabezpieczenie produkcyjne nie działa, gdy PLATFORM_ENV również nie jest ustawione (domyślnie dev). Zdalny nieuwierzytelniony atakujący może wygenerować token HS256 z dowolnym sub i email, który zostanie zaakceptowany przez AuthService._verify_token() i get_current_user dla chronionych tras API.

W PraisonAI przed wersją 1.7.2 narzędzie codeMode w src/praisonai-ts/src/tools/builtins/code-mode.ts wykonuje model-generated JavaScript za pomocą new Function() i with(sandbox), a bloklistę opartą na wyrażeniach regularnych można obejść używając Function('return this')() do odzyskania obiektu globalnego i dynamicznego konstruowania nazwy modułu child_process. Atakujący mogący wpływać na argument code może uzyskać dostęp do możliwości procesu hosta, czytać lub zapisywać pliki, pozyskiwać poświadczenia środowiskowe i wykonywać polecenia systemowe z uprawnieniami procesu PraisonAI.

W PraisonAI od wersji 1.6.0 do 1.7.2, AgentOS w src/praisonai-ts/src/os/agentos.ts używa domyślnego adresu 0.0.0.0 z src/praisonai-ts/src/os/config.ts i rejestruje GET /api/agents oraz POST /api/chat bez oprogramowania pośredniczącego uwierzytelniania. Zdalny wywołujący mogący połączyć się z usługą może uzyskać nazwy agentów, role i prefiksy instrukcji oraz wywołać wybranego agenta, potencjalnie uzyskując dostęp do jego narzędzi, pamięci, zewnętrznych API, poświadczeń i stanu przepływu pracy.

W PraisonAI od wersji 1.5.0 do 1.7.2, MCPServer.startHttp() w src/praisonai-ts/src/mcp/server.ts wiąże się bez ograniczenia hosta i przekazuje każde żądanie HTTP POST do handleRequest() bez uwierzytelniania i autoryzacji. Każdy klient sieciowy mogący połączyć się z portem może wywołać tools/list, tools/call, resources/read lub prompts/get, powodując uruchomienie zarejestrowanych procedur obsługi z poświadczeniami serwera i uprawnieniami procesu lub ujawnienie zarejestrowanych danych.

W PraisonAI od wersji 1.4.0 do 1.7.2, codeMode w src/praisonai-ts/src/tools/builtins/code-mode.ts wykonuje niezaufany JavaScript za pomocą new Function() wewnątrz with(sandbox) i opiera się na małej blokliście kodu źródłowego oraz przesłoniętych właściwościach process i require. Kod może użyć ({}).constructor.constructor do odzyskania prawdziwego konstruktora Function, uzyskać process i process.mainModule.require oraz dotrzeć do API systemu plików i podprocesów hosta mimo reklamowanego sandboxa. Atakujący kontrolujący dane wejściowe codeMode mogą czytać sekrety, modyfikować pliki, wykonywać polecenia lub wyczerpać proces hosta.

W PraisonAI, systemie zespołów wieloagentowych, w wersjach przed 4.6.62 plik src/praisonai/praisonai/tools/multiedit.py przekazuje kontrolowany przez LLM parametr filepath bezpośrednio do funkcji open bez odrzucania przechodzenia ścieżek, rozwiązywania dowiązań symbolicznych, granicy obszaru roboczego ani sprawdzania chronionych ścieżek. Agenci podatni na wpływ promptów mogą odczytywać pliki lub je nadpisywać.

W PraisonAI, systemie zespołów wieloagentowych, w wersjach przed 4.6.58 funkcja praisonai.jobs.server.create_app montuje praisonai.jobs.router.create_router pod /api/v1/runs bez uwierzytelniania i autoryzacji dla poszczególnych zadań. Klienci sieciowi mogą przesyłać kontrolowane przez atakującego prompty i konfigurację agenta, wyświetlać i odczytywać zadania, strumieniować wyniki oraz anulować lub usuwać zadania innych.

W systemie PraisonAI przed wersją 4.6.58 middleware uwierzytelniające (APIKeyAuthMiddleware lub JWTAuthMiddleware) przepuszczają żądania, gdy brakuje klucza PRAISONAI_API_KEY lub PRAISONAI_JWT_SECRET oraz odpowiadającej wartości przepisu. W efekcie nieuwierzytelnieni klienci mogą uzyskać dostęp do wykonywania przepisów oraz powierzchni wejścia i wyjścia, mimo że operator włączył uwierzytelnianie.

W PraisonAI przed wersją 4.6.59 domyślne aplikacje hosta UI udostępniają endpoint POST /api/mcp/connect bez wymaganego uwierzytelnienia i przyjmują kontrolowane przez wywołującego wartości command oraz args przekazywane do StdioMCPClient w celu uruchomienia lokalnego procesu. Ponieważ UI domyślnie nasłuchuje na 0.0.0.0, osiągalny nieuwierzytelniony klient może wykonywać polecenia jako konto usługi UI, nawet jeśli późniejsza faza uzgadniania MCP zakończy się niepowodzeniem.

W systemie PraisonAI (wersje przed praisonai 4.6.59 i praisonaiagents 1.6.59) nieuwierzytelniony endpoint POST /api/v1/runs Jobs API przyjmuje kontrolowane przez atakującego pole agent_yaml. Pole approve pozwala oznaczyć execute_command jako zatwierdzone w YAML zanim mechanizm @require_approval sprawdzi krytyczne narzędzia, co umożliwia zdalne wywołanie dowolnych poleceń systemu operacyjnego przez agenta LLM bez poświadczeń i interakcji operatora.

PraisonAI przed wersją 4.6.58, funkcja _handle_connection() w Browser Server sprawdza pochodzenie rozszerzenia Chrome za pomocą re.match() i niezakotwiczonego wyrażenia chrome-extension://[a-z0-9]{32}. Dodatkowe znaki na końcu przechodzą przed websocket.accept(), co pozwala na komendy start_session i nieautoryzowaną automatyzację przeglądarki. Problem został naprawiony w wersji 4.6.58.

PraisonAI przed wersją 4.6.40 zawiera podatność na wstrzyknięcie poleceń w dołączonym workflow GitHub Actions dla Claude. Nazwa gałęzi pull requesta jest osadzana w bloku Bash bez walidacji, a każdy komentarz @claude może uruchomić zadanie, co pozwala zewnętrznym kontrybutorom na wykonanie dowolnego kodu w runnerze.

PraisonAI przed wersją 4.6.40 udostępnia niezabezpieczone API sterowania agentami przez sieć, gdy zmienna CALL_SERVER_TOKEN nie jest skonfigurowana. Funkcja uwierzytelniająca verify_token() przepuszcza żądania bez tokena. Serwer wywołań domyślnie nasłuchuje na 0.0.0.0, co pozwala każdemu klientowi na listowanie agentów, podgląd metadanych i instrukcji, wywoływanie oraz wyrejestrowywanie agentów.

PraisonAI domyślnie generuje serwer API Flask bez uwierzytelniania, który nasłuchuje na wszystkich interfejsach sieciowych (0.0.0.0) i udostępnia wrażliwe endpointy. Atakujący może wysyłać żądania do endpointów /chat i /agents bez żadnego uwierzytelnienia, co pozwala na wykonanie kodu LLM z kluczami API dostępnymi w środowisku.

W systemie PraisonAI przed wersją 4.6.40 (odpowiadającą wersji 1.6.40 biblioteki praisonaiagents) wykryto podatność w funkcji `execute_code()` w pliku `praisonaiagents/tools/python_tools.py`. Atakujący może ominąć tryb piaskownicy subprocess, używając `print.__self__` do uzyskania dostępu do modułu `builtins`, a następnie poprzez `vars()` i konstrukcję łańcucha znaków wywołać `__import__`, co prowadzi do wykonania dowolnych poleceń systemu operacyjnego na hoście.

PraisonAI przed wersją 4.6.40 zawiera przykładowy serwer A2A, który udostępnia nieuwierzytelniony endpoint A2A JSON-RPC i rejestruje narzędzie calculate(expression) zaimplementowane za pomocą eval() w Pythonie. Serwer wiąże się z 0.0.0.0. Zdalny, nieuwierzytelniony atakujący może wysłać wiadomość message/send do /a2a, co powoduje, że LLM może wywołać narzędzie calculate, prowadząc do wykonania dowolnego kodu Python na serwerze. Podatność dotyczy wdrożeń korzystających z oficjalnego przykładu A2A lub podobnych nieuwierzytelnionych wdrożeń A2A z niebezpiecznymi narzędziami.

PraisonAI przed wersją 1.6.78 zawiera podatność zdalnego wykonania kodu w funkcji CodeAgent._execute_python(), która wykonuje kod Python generowany przez model LLM bez walidacji AST, ograniczeń importów ani izolacji piaskownicy. Atakujący mogą wpływać na wynik LLM poprzez wstrzykiwanie promptów, aby wykraść wszystkie sekrety środowiskowe i wykonać dowolny kod na systemie hosta.

PraisonAI przed wersją 4.6.78 zawiera podatności umożliwiające dowolny zapis plików i wykonanie poleceń w komponencie AICoder. Brak walidacji ścieżek i sanityzacji poleceń w wywołaniach narzędzi LLM pozwala atakującym na wstrzykiwanie złośliwych promptów przez interfejs czatu.

Podatność w PraisonAI przed wersją 4.6.78 pozwala na wstrzyknięcie SQL/CQL poprzez nieprawidłową walidację argumentu wymiaru w backendach PGVector i Cassandra. Atakujący może przekazać złośliwy ciąg znaków, który zostanie bezpośrednio wstawiony do zapytania CREATE TABLE, co może prowadzić do wykonania nieautoryzowanych operacji na bazie danych.

PraisonAI przed wersją 4.6.78 zawiera podatność na wstrzykiwanie kodu w pliku deploy/api.py. Parametr agents_file jest bezpośrednio interpolowany do f-stringa bez sanityzacji, co pozwala atakującym na wstrzyknięcie dowolnego kodu Python, który wykonuje się podczas uruchamiania wygenerowanego kodu serwera przez subprocess.Popen().

PraisonAI to system zespołów wieloagentowych. Przed wersją 1.6.32 logika sprawdzania URL miała błąd logiczny, który mógł być obejściem przez atakujących, prowadząc do ataków SSRF.

PraisonAI przed wersją 4.5.115 zawiera podatność w metodzie AgentService.loadAgentFromFile, która używa biblioteki js-yaml do parsowania plików YAML bez wyłączania niebezpiecznych tagów (takich jak !!js/function i !!js/undefined). Pozwala to atakującemu na stworzenie złośliwego pliku YAML, który po sparsowaniu wykonuje dowolny kod JavaScript.

PraisonAI przed wersją 1.5.115 ma lukę w funkcji execute_code() w trybie sandbox. Lista zablokowanych atrybutów AST w podprocesie jest niekompletna, co pozwala na ominięcie sandboksa i wykonanie dowolnego kodu Python.

PraisonAI przed wersją 4.5.97 zawiera podatność w OAuthManager.validate_token(), która zwraca True dla każdego tokena nieznalezionego w wewnętrznym magazynie (domyślnie pustym). Każde żądanie HTTP do serwera MCP z dowolnym tokenem Bearer jest traktowane jako uwierzytelnione, dając pełny dostęp do wszystkich zarejestrowanych narzędzi i możliwości agentów.

PraisonAI to system wieloagentowy. Przed wersją 4.5.97 serwer bramy PraisonAI akceptuje połączenia WebSocket na /ws i udostępnia topologię agentów na /info bez uwierzytelniania. Każdy klient sieciowy może się połączyć, wyliczyć zarejestrowanych agentów i wysyłać dowolne wiadomości do agentów i ich zestawów narzędzi.

PraisonAI przed wersją 1.5.90 zawiera lukę w funkcji execute_code(), która umożliwia ominięcie trójwarstwowego sandboksa przez przekazanie podklasy str z nadpisaną metodą startswith(), prowadząc do wykonania dowolnych poleceń OS.

PraisonAI w wersjach od 4.5.15 do 4.5.69 zawiera podatność na wykonanie dowolnego kodu systemowego poprzez argument CLI --mcp, który jest przekazywany bez walidacji do shlex.split() i anyio.open_process(). Atakujący może wykorzystać tę lukę do wykonania dowolnych poleceń w kontekście użytkownika procesu.

PraisonAI to system wieloagentowy. Przed wersją 4.5.90 funkcja get_all_user_threads konstruuje zapytania SQL przez f-stringi z nieskapowanymi identyfikatorami wątków pobranymi z bazy danych. Atakujący może przechować złośliwy identyfikator wątku przez update_thread, a przy ładowaniu listy wątków wstrzyknięty kod SQL wykonuje się, dając pełny dostęp do bazy danych.

PraisonAI to system zespołów wieloagentowych. Od wersji 1.4.0 do 1.7.2 funkcja createAgentLoop() w src/praisonai-ts/src/ai/agent-loop.ts przekazuje wykonywalne narzędzia do generateText() przed wywołaniem callbacku zatwierdzającego onToolCall. Ponieważ opakowany AI SDK wykonuje handlery narzędzi podczas generowania, callback zwracający false zapisuje tool_rejected dopiero po tym, jak odrzucone narzędzie wywołało już skutki uboczne.

PraisonAI to system zespołów wieloagentowych. Od wersji 1.2.3 do 1.7.2 klasa CommandValidator w src/praisonai-ts/src/cli/features/sandbox-executor.ts waliduje tylko pierwszy, oddzielony białym znakiem plik wykonywalny względem allowedCommands, a następnie SandboxExecutor przekazuje pełny ciąg polecenia do sh -c. Polecenie zaczynające się od dozwolonego pliku wykonywalnego może dołączyć niedozwolone polecenie za pomocą metaznaków powłoki.

PraisonAI to system zespołów wieloagentowych. Od wersji 1.2.3 do 1.7.2 tryb izolacji sieciowej SandboxExecutor w src/praisonai-ts/src/cli/features/sandbox-executor.ts używa buildEnv() jedynie do wstrzyknięcia nieprawidłowych zmiennych środowiskowych http_proxy i https_proxy i nie ustanawia granicy sieciowej na poziomie systemu operacyjnego. Programy ignorujące te zmienne proxy mogą otwierać gniazda bezpośrednio.

PraisonAI to system zespołów wieloagentowych. Od wersji 1.5.1 do 1.7.2 funkcja MCPSecurity.evaluatePolicy() w src/praisonai-ts/src/mcp/security.ts wywołuje skonfigurowany walidator poświadczeń tylko wtedy, gdy AuthMethod to api-key lub bearer. Zasady Basic i OAuth akceptują dowolny niepusty nagłówek Authorization bez wywołania auth.validate(), a następnie zwracają wynik uwierzytelnienia.

PraisonAI to system zespołów wieloagentowych. Od wersji 1.5.1 do 1.7.2 pomocnik shell() eksportowany z src/praisonai-ts/src/tools/utility-tools.ts sprawdza tylko pierwszy, oddzielony białym znakiem token względem safeCommands, a następnie przekazuje pełny oryginalny ciąg do child_process.exec(). Ciąg zaczynający się od dozwolonego polecenia tylko do odczytu może dołączyć drugie niedozwolone polecenie za pomocą składni powłoki.

W bibliotece PraisonAI metoda ToolsMCPServer.run_sse() montuje transport SseServerTransport na przestarzałych endpointach /sse i /messages/ bez domyślnego wymuszania nagłówków Host, Origin ani uwierzytelniania. Złośliwa strona internetowa może wykorzystać DNS rebinding przeciwko osiągalnemu lokalnemu lub wewnętrznemu serwerowi SSE, dostarczyć kontrolowane przez atakującego nagłówki Host i Origin, wyliczyć zarejestrowane narzędzia i wywołać je z uprawnieniami użytkownika serwera. Wstępna poprawka została wydana w praisonaiagents 1.6.59 i PraisonAI 4.6.59.

W systemie PraisonAI przed wersją 4.6.62 ustawienie zmiennej PRAISONAI_CALL_AUTH na wartość disabled powoduje, że funkcja verify_token akceptuje żądania do /api/v1/agents/{id}/invoke bez uwierzytelniania CALL_SERVER_TOKEN. Wdrożenia korzystające z reklamowanego wyłączenia uwierzytelniania mogą narazić zarejestrowanych agentów oraz ich narzędzia i prywatny kontekst na nieuwierzytelnione wywołania.

W systemie PraisonAI przed wersją 4.6.59 procedury obsługi webhooków botów WhatsApp i Linear weryfikują podpisy HMAC tylko wtedy, gdy skonfigurowano WHATSAPP_APP_SECRET lub LINEAR_WEBHOOK_SECRET; w przeciwnym razie przetwarzają i wysyłają niepodpisane treści żądań. Zdalny nieuwierzytelniony klient mogący dotrzeć do trasy webhooka może fałszować wiadomości, komentarze lub zdarzenia sesji agenta, podszywać się pod użytkowników platformy i zakłócać przetwarzanie bota.

W systemie PraisonAI przed wersją 4.6.59 nieuwierzytelnione API Jobs akceptuje bezwzględną lub podatną na traversację ścieżkę agent_file w POST /api/v1/runs i przekazuje ją do wykonawcy zadania bez listy dozwolonych obszarów roboczych ani sprawdzenia granic. Zdalny wywołujący może spowodować otwarcie przez serwer plików dostępnych dla konta usługi, ujawniając poświadczenia, klucze, zmienne środowiskowe i inne lokalne dane.

W systemie PraisonAI przed wersją 4.6.59 wrappery CODE_TOOLS utrzymują _workspace_root jako None i przekazują workspace=None do funkcji pomocniczych read_file, search_replace i apply_diff, które wymuszają ograniczenie ścieżek tylko dla niepustego workspace. Aplikacja udostępniająca code_read_file, code_search_replace lub code_apply_diff przed set_workspace może pozwolić na odczyt i modyfikację plików poza zamierzonym katalogiem projektu.

W systemie PraisonAI przed wersją praisonaiagents 1.6.59 plik src/praisonai-agents/praisonaiagents/tools/email_tools.py interpoluje kontrolowane przez LLM wartości from_addr, subject i query bezpośrednio do kryteriów IMAP SEARCH w cudzysłowach. Osadzone znaki cudzysłowu, ukośnika wstecznego, nowej linii lub null mogą uciec z zamierzonego kryterium i zmienić operacje IMAP, gdy search_emails, reply_email lub archive_email są udostępnione agentowi z skonfigurowanymi poświadczeniami e-mail, umożliwiając dostęp, modyfikację, usunięcie lub zakłócenie połączenia z danymi skrzynki pocztowej.

PraisonAI przed wersją 4.6.51 udostępnia endpoint /api/v1/runs bez uwierzytelnienia. Każdy, kto ma dostęp do sieci, może przesyłać zadania, odczytywać wyniki, anulować uruchomienia lub usuwać zadania, używając poświadczeń operatora. Poprawka dodaje middleware PRAISONAI_JOBS_API_KEY.

PraisonAI przed wersją 4.6.58 ma lukę w create_auth_middleware(), która pozwala na żądania bez uwierzytelnienia, gdy brakuje PRAISONAI_API_KEY lub PRAISONAI_JWT_SECRET. Zewnętrznie powiązany serwer Recipe może przyjmować nieuwierzytelnione żądania POST /v1/recipes/run, mimo że uwierzytelnianie jest włączone.

PraisonAI przed wersją 4.6.58 ma lukę w MCP HTTP Stream _validate_origin, która używa startswith do sprawdzania pochodzenia, co pozwala atakującemu na użycie origin localhost.attacker.com. Strona internetowa może wysyłać żądania Content-Type: text/plain bez preflight i wywoływać narzędzia bez klucza API, w tym zapisy plików.