CVE-2026-34937
Təsvir
PraisonAI çoxagentli komandalar sistemidir. Versiya 1.5.90-dan əvvəl, praisonai daxilindəki run_python() funksiyası istifadəçi tərəfindən idarə olunan kodu python3 -c "<code>" ifadəsinə yerləşdirməklə shell əmr sətrini qurur və onu subprocess.run(..., shell=True) vasitəsilə ötürür. Escape məntiqi yalnız \ və " simvollarını emal edir, $() və geri dırnaq (backtick) əvəzləmələrini escape edilməmiş saxlayır ki, bu da Python çağırılmamışdan əvvəl ixtiyari ƏS əmrlərinin icrasına imkan verir. Bu problem versiya 1.5.90-da aradan qaldırılmışdır.
Necə düzəltmək olar
- praison praisonaiagents1.5.90 və ya daha yeni versiya
- praisonaiagents1.5.90 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| praison praisonaiagents | v < 1.5.90 | 1.5.90 |
| praisonaiagentsPyPI | v < 1.5.90 | 1.5.90 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.