CVE-2026-39308
Təsvir
PraisonAI çoxagentli komandalar sistemidir. 1.5.113 versiyasından əvvəl PraisonAI-ın resept reyestri dərc etmə nöqtəsi (publish endpoint), manifest adının və versiyasının HTTP marşrutu ilə uyğunluğunu yoxlamazdan əvvəl yüklənmiş resept paketlərini paketin daxili manifest.json faylından törəyən fayl sistemi yoluna yazır. Bədniyyətli bir nəşr edən şəxs paket manifestinə ../ keçid ardıcıllıqlarını yerləşdirə bilər və sorğu sonda HTTP 400 ilə rədd edilsə belə, reyestr serverinin konfiqurasiya edilmiş reyestr kök qovluğundan kənarda fayllar yaratmasına səbəb ola bilər. Bu, reyestr hostunda ixtiyari fayl yazma / yol keçidi (path traversal) problemidir. Bu, resept reyestri dərc etmə axınını açıq saxlayan tətbiqlərə təsir edir. Əgər reyestr qəsdən token olmadan işlədilibsə, xidmətə çata bilən hər hansı şəbəkə kliyenti bunu tetikləyə bilər. Token konfiqurasiya edilibsə, dərc etmə hüququ olan istənilən istifadəçi hələ də bundan istifadə edə bilər. Bu zəiflik 1.5.113 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- praisonai4.5.113 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| praison praisonai | v ≤ 4.5.112 | — |
| praisonaiPyPI | v < 4.5.113 | 4.5.113 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.