CVE-2026-39306
Təsvir
PraisonAI çoxagentli komandalar sistemidir. 1.5.113 versiyasından əvvəl PraisonAI-ın resept reyestri çəkmə axını (pull flow), hücum edən tərəfindən idarə olunan .praison tar arxivlərini tar.extractall() ilə çıxarır və çıxarma prosesindən əvvəl arxiv üzvlərinin yollarını təsdiqləmir. Zərərli nəşrcil ../ keçid yazılarını ehtiva edən resept paketini yükləyə bilər və daha sonra həmin resepti çəkən hər hansı istifadəçi seçdikləri çıxış kataloqundan kənara faylları yazacaqdır. Bu, resept reyestri iş axınının klient tərəfində yol keçidi (path traversal) / ixtiyari fayl yazma zəifliyidir. Bu, həm lokal reyestr çəkmə yoluna, həm də HTTP reyestr çəkmə yoluna təsir edir. Kontrol cəmi (checksum) yoxlaması istismarın qarşısını almır, çünki zərərli keçid yükü imzalanmış paketin özünün bir hissəsidir. Bu zəiflik 1.5.113 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- praisonai4.5.113 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| praison praisonai | v ≤ 4.5.112 | — |
| praisonaiPyPI | v < 4.5.113 | 4.5.113 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.