CVE-2026-34955

Yüksək

Təsvir

PraisonAI çoxagentli komandalar sistemidir. Versiya 4.5.97-dək bütün rejimlərdə (BASIC, STRICT, NETWORK_ISOLATED) SubprocessSandbox, subprocess.run() funksiyasını shell=True parametri ilə çağırır və təhlükəli əmrləri bloklamaq üçün yalnız sətir nümunələrinin uyğunlaşdırılmasına (string-pattern matching) güvənir. Blok siyahısına müstəqil icra olunan fayllar kimi sh və ya bash daxil edilməyib ki, bu da STRICT rejimində 'sh -c <command>' vasitəsilə sandbox-dan sadə şəkildə çıxmağa imkan verir. Bu problem versiya 4.5.97-də aradan qaldırılmışdır.

CiddilikYüksək

CVSS8.8

İstismar ehtimalı—

MəhsulPraisonai

Dərc4 apr 2026

İlk görülmə4 apr 2026

Zəiflik növüCWE-78Əməliyyat sistemi əmr inyeksiyası

Necə düzəltmək olar

Yeniləyin

praison praisonai4.5.97 və ya daha yeni versiya
praisonai4.5.97 və ya daha yeni versiya

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
praison praisonai	v < 4.5.97	4.5.97
praisonaiPyPI	v < 4.5.97	4.5.97

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.