PT-2026-61772
CVE-2026-57118
·
تاريخ النشر
2026-06-18
·
تاريخ التحديث
2026-10-15
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات praisonaiagents من 4.6.33 إلى 4.6.57
الوصف
يقوم خادم HTTP الذي تم تنفيذه عبر
AgentTeam.launch() وAgents.launch() بتشغيل نقاط نهاية استدعاء الوكلاء التي يمكن الوصول إليها من الخارج دون مصادقة. يسجل الخادم نقاط النهاية التالية:-
GET /{path}/list: يسرد الوكلاء الذين تم نشرهم. -
POST /{path}: يستدعي جميع الوكلاء في الفريق بالتتابع. -
POST /{path}/{agent id}: يستدعي وكيلًا محددًا.
تستدعي هذه المسارات وظيفة
agent.chat() مباشرةً دون التحقق من أي رؤوس Authorization أو مفاتيح واجهة برمجة التطبيقات (API). بشكل افتراضي، يرتبط الخادم بـ 0.0.0.0، مما يسمح لعملاء الشبكة البعيدين بتعداد الوكلاء، وتفعيل تكاليف واجهة برمجة التطبيقات (API) الخاصة بالنماذج، وتنفيذ الإجراءات من خلال الأدوات المتصلة أو واجهات برمجة التطبيقات (API) الداخلية أو مصادر المعرفة الخاصة.التوصيات
بالنسبة للإصدارات من 4.6.33 إلى 4.6.57، قم بتنفيذ مساعد مصادقة مشترك يتطلب رأس «Authorization: Bearer » أو رأس مفتاح واجهة برمجة تطبيقات (API) صالح لنقاط النهاية «GET /{path}/list» و«POST /{path}» و«POST /{path}/{agent id}».
قم بتغيير ربط المضيف الافتراضي لـ
AgentTeam.launch() إلى 127.0.0.1 لمنع التعرض الخارجي بشكل افتراضي.كإجراء تخفيفي مؤقت، قم بتقييد الخادم بحيث يرتبط فقط بعنوان الارتجاع المحلي أو استخدم جدران الحماية الشبكية للحد من الوصول إلى منفذ الخادم.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾