CVE-2026-55530

إصدارات praisonaiagents الأقدم من 1.6.58

تفتقر الدالة ast grep rewrite() الموجودة في المكون praisonaiagents/tools/ast grep tool.py إلى الزخرفة @require approval التي تستخدمها أدوات التعديل الأخرى. وعندما يتم تعيين المتغير dry run إلى False، يمكن للوكيل تنفيذ الدالة لإعادة كتابة الملفات المطابقة عبر مسار محدد دون الحاجة إلى الحصول على إذن. وهذا يسمح بتعديل أي ملف تمتلك العملية المضيفة إذنًا بالكتابة عليه، بما في ذلك أشجار المصدر وتكوينات البناء. علاوة على ذلك، تُرجع الدالة بشكل خاطئ السلسلة ”No changes made“ حتى عند تعديل الملفات بنجاح، مما يخفي الإجراء عن المشغل. يمكن أن تحدث هذه المشكلة إذا تم توجيه الوكيل عبر حقن المطالبة لاستدعاء الدالة باستخدام متغيرات pattern وreplacement وpath التي يتحكم فيها المهاجم.

تحديث praisonaiagents إلى الإصدار 1.6.58.

كحل مؤقت، قم بتقييد استخدام الدالة ast grep rewrite() أو تجنب استخدام ملف تعريف code intelligence حتى يتم تطبيق التحديث.