CVE-2026-62165

اسم البرنامج المصاب والإصدارات المتأثرة PraisonAI (إصدارات متأثرة غير محددة)

Description يقوم مدير المكونات الإضافية بتحميل وتنفيذ ملفات .py عشوائية من أدلة .praisonai/plugins/ الموجودة على مستوى المشروع والمجلد الرئيسي للمستخدم. يحدث هذا من خلال استخدام importlib.util.spec from file location() و exec module() دون أي توقيع للكود أو تحقق من السلامة أو عزل (sandboxing). يمكن للمهاجم القادر على كتابة ملف في هذه الأدلة—عبر تجاوز المسار (path traversal)، أو هجمات سلسلة التوريد، أو التبعيات المخترقة—تحقيق تنفيذ تعسفي للكود أثناء تهيئة نظام المكونات الإضافية. تتضمن العملية الدالة load plugin file() في src/praisonai-agents/praisonaiagents/plugins/manager.py والتي تقوم بتنفيذ الوحدة وقد تستدعي الدالة create plugin().

Recommendations في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.