PT-2026-38304
CVE-2026-44334
·
تاريخ النشر
2026-05-06
·
تاريخ التحديث
2026-07-13
الوصف من
CVSS 3.1
8.4
عاليةالمقاييسAV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات PraisonAI من 4.5.139 إلى 4.6.31
الوصف
يوجد عيب في نظام الفرق متعددة الوكلاء، حيث يظل مستقبل الاستيراد في ملف
praisonai/templates/tool override.py غير محمي. وهذا يسمح للمهاجمين عن بُعد بتشغيل تعليمات برمجية عشوائية عبر نقطة النهاية POST /v1/recipes/run عن طريق توفير قيمة recipe تشير إلى مسار مطلق محلي أو مستودع GitHub. يقوم النظام بتنفيذ الدالة exec module() على ملف tools.py الموجود بجوار ملف TEMPLATE.yaml. بشكل افتراضي، لا يتطلب هذا الإجراء أي مصادقة أو موافقة على البيئة.التوصيات
قم بالتحديث إلى الإصدار 4.6.32.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾