CVE-2026-60089

Nome do Software Vulnerável e Versões Afetadas PraisonAI (pacote pip praisonaiagents) versões anteriores a 1.6.78

Description O software carrega automaticamente configurações padrão de um arquivo .praisonai/config.toml local ao projeto ao construir um Agente, mas não valida o caminho defaults.output.output file. Um invasor pode fornecer um arquivo de configuração controlado pelo repositório que define o output file como um caminho absoluto ou um caminho de travessia de diretório (ex: ..). Quando a função agent.start() é chamada sem um parâmetro de saída explícito, a resposta do agente é gravada nesse caminho, permitindo a sobrescrita de arquivos fora da raiz do projeto com os privilégios do usuário que executa a aplicação.

Recommendations Atualize o PraisonAI (pacote pip praisonaiagents) para a versão 1.6.78 ou posterior.