CVE-2026-55526

Nome do Software Vulnerável e Versões Afetadas praisonaiagents versões anteriores a 1.6.58

Description Um problema de Server-Side Request Forgery (SSRF) existe no sistema de equipes multi-agente. A função host is blocked() em spider tools.py não realiza a resolução de DNS de nomes de host antes que eles sejam processados pela função scrape page. Consequentemente, um invasor pode usar serviços de DNS wildcard públicos (ex: 127.0.0.1.nip.io) para ignorar a validação e forçar o sistema a fazer requisições HTTP para endereços de loopback internos ou redes privadas. Isso permite o acesso a portas arbitrárias e a exfiltração de respostas de serviços internos.

Este problema afeta as seguintes ferramentas de agente chamáveis por LLM:

Em ambientes de nuvem, como AWS EC2 usando IMDSv1, isso pode levar ao roubo de credenciais temporárias do IAM e ao comprometimento total da conta na nuvem.

Recommendations Atualize o praisonaiagents para a versão 1.6.58 ou posterior. Como medida paliativa temporária, restrinja o uso das ferramentas scrape page, extract links, crawl e extract text ao processar URLs fornecidas por usuários.