PT-2026-60140
CVE-2026-61438
·
تاريخ النشر
2026-07-15
·
تاريخ التحديث
2026-10-29
الوصف من
CVSS 3.1
7.3
عاليةالمقاييسAV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات PraisonAI السابقة للإصدار 4.6.78
الوصف
يؤدي عدم كفاية التحقق من صحة شجرة النحو المجردة (AST) لخطوات نصوص سير العمل إلى السماح بتنفيذ التعليمات البرمجية عن بُعد. يمكن للمهاجم إنشاء ملفات YAML خبيثة لسير العمل تحتوي على عبارات
import os واستدعاءات os.system() لتجاوز قيود بيئة الحماية (sandbox) وتنفيذ أوامر تعسفية لنظام التشغيل بامتيازات العملية قيد التشغيل. يحدث هذا داخل الدالة JobWorkflowExecutor. exec inline python().التوصيات
قم بتحديث PraisonAI إلى الإصدار 4.6.78 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد القدرة على تحميل أو معالجة ملفات سير العمل YAML غير الموثوق بها.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾