PT-2026-57194
CVE-2026-61437
·
تاريخ النشر
2026-07-10
·
تاريخ التحديث
2026-10-15
الوصف من
CVSS 3.1
7.8
عاليةالمقاييسAV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات praisonaiagents الأقدم من 1.6.78
الوصف
توجد مشكلة تتعلق بتحميل الوحدات النمطية الديناميكية غير الآمن في الدالة
AgentFlow. resolve pydantic class(). عندما تستخدم إحدى خطوات سير العمل مرجع السلسلة output pydantic، يقوم إطار العمل باستيراد ملف tools.py شقيق من دليل سير العمل باستخدام importlib exec module دون عزل (sandboxing). تتجاهل هذه العملية متغيرات البيئة PRAISONAI ALLOW * TOOLS. يمكن للمهاجم الذي يستطيع التحكم في ملف سير العمل وملف tools.py المرتبط به تنفيذ تعليمات برمجية Python تعسفية بامتيازات مشغل سير العمل أثناء التنفيذ عبر WorkflowManager أو بعد load yaml.التوصيات
تحديث praisonaiagents إلى الإصدار 1.6.78 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾