PT-2026-57196
CVE-2026-61444
·
تاريخ النشر
2026-07-10
·
تاريخ التحديث
2026-10-15
الوصف من
CVSS 4.0
9.4
حرجةالمقاييسAV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات PraisonAI الأقدم من 4.6.78
الوصف
توجد مشكلة في حقن الكود في ملف
deploy/api.py. يتم إدراج المعلمة agents file مباشرةً في سلسلة f-string دون تنقية مناسبة. تُستخدم هذه السلسلة المُدرجة لتوليد كود الخادم الذي يتم تنفيذه لاحقًا عبر الدالة subprocess.Popen(). يمكن للمستخدم المصرح له الذي لديه حق الوصول إلى واجهة برمجة تطبيقات النشر (deploy API) استغلال هذه الثغرة لحقن وتنفيذ كود Python تعسفي في سياق عملية النشر.التوصيات
تحديث PraisonAI إلى الإصدار 4.6.78.
تجنب استخدام المعلمة
agents file في نقطة النهاية deploy/api.py حتى يتم تطبيق التحديث.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾