CVE-2026-57138

Nome do Software Vulnerável e Versões Afetadas PraisonAI versões 1.4.0 até 1.7.1

Descrição A função codeMode em src/praisonai-ts/src/tools/builtins/code-mode.ts executa JavaScript não confiável usando new Function() dentro de um bloco with(sandbox). O sistema depende de uma lista de bloqueio de código-fonte limitada e de propriedades process e require sombreadas para isolamento. No entanto, um invasor pode usar ({}).constructor.constructor para recuperar o construtor Function original e acessar process e process.mainModule.require. Isso permite que o invasor ignore o sandbox e acesse o sistema de arquivos do host e APIs de subprocessos, podendo resultar no roubo de segredos, modificação de arquivos, execução de comandos ou exaustão do processo do host.

Recomendações Atualizar para a versão 1.7.2.