CVE-2026-60090

Nome do Software Vulnerável e Versões Afetadas PraisonAI versões anteriores a 4.6.78

Descrição Os backends create collection() do armazenamento de conhecimento PGVector e Cassandra não validam o argumento dimension controlado pelo chamador. Embora os identificadores de esquema, keyspace e nome da coleção sejam validados, o valor de dimension é interpolado diretamente na coluna de vetor do DDL (Data Definition Language) CREATE TABLE gerado. Isso permite que um chamador injete tokens SQL ou CQL na instrução executada pelo driver do banco de dados ao passar uma string maliciosa através da variável dimension.

Recomendações Atualize o PraisonAI para a versão 4.6.78 ou posterior. Como medida paliativa temporária, restrinja o acesso à função create collection() para evitar que usuários não autorizados influenciem o argumento dimension.