PT-2026-61773
CVE-2026-57119
·
تاريخ النشر
2026-06-18
·
تاريخ التحديث
2026-09-16
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
PraisonAI (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يمكن لمهاجم غير مصدق قراءة ملفات عشوائية على الخادم من خلال توفير مسار مطلق لنظام الملفات في حقل
agent file الخاص بواجهة برمجة تطبيقات المهام (Jobs API). يفتقر النظام إلى عملية التحقق من صحة المسار وقائمة السماح، ولا يُشترط إجراء أي مصادقة لإرسال المهام. تحدث المشكلة عندما يتم تمرير المتغير agent file الموجود في JobSubmitRequest مباشرةً إلى وظيفة فتح الملف في المنفذ. وهذا يسمح بالوصول إلى الملفات الحساسة مثل /etc/passwd، ومتغيرات البيئة، والمفاتيح الخاصة لـ SSH، وأسرار التطبيقات عبر نقطة النهاية /api/v1/runs.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
كحل مؤقت، قم بتقييد الوصول الشبكي إلى المنفذ 8005 على المصادر الموثوقة فقط.
تجنب استخدام المعلمة
agent file في نقطة النهاية /api/v1/runs حتى يتم حل المشكلة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾