CVE-2026-62165

Nome do Software Vulnerável e Versões Afetadas PraisonAI (versões afetadas não especificadas)

Description O gerenciador de plugins carrega e executa arquivos .py arbitrários dos diretórios .praisonai/plugins/ localizados tanto no nível do projeto quanto na pasta home do usuário. Isso ocorre através do uso de importlib.util.spec from file location() e exec module() sem qualquer assinatura de código, verificação de integridade ou sandboxing. Um invasor capaz de gravar um arquivo nesses diretórios—via travessia de caminho (path traversal), ataques de cadeia de suprimentos ou dependências comprometidas—pode alcançar a execução de código arbitrário durante a inicialização do sistema de plugins. O processo envolve a função load plugin file() em src/praisonai-agents/praisonaiagents/plugins/manager.py, que executa o módulo e pode chamar a função create plugin().

Recommendations No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.