CVE-2026-40112
Təsvir
PraisonAI çoxagentli komandalar sistemidir. 4.5.128 versiyasından əvvəl src/praisonai/api.py faylındakı Flask API son nöqtəsi agent çıxışını effektiv təmizləmə aparmadan HTML kimi render edir. _sanitize_html funksiyası pyproject.toml faylında tələb olunan və ya opsional asılılıq kimi qeyd edilməmiş nh3 kitabxanasından istifadə edir. nh3 mövcud olmadıqda (standart quraşdırma zamanı), təmizləyici funksiya heç bir əməliyyat yerinə yetirmir və HTML-i dəyişdirilmədən qaytarır. Agent girişinə təsir edə bilən hücumçu (RAG məlumatlarının zəhərlənməsi, veb skreypinq nəticələri və ya prompt inyeksiyası vasitəsilə) API çıxışına baxan hər hansı şəxsin brauzerində icra olunan ixtiyari JavaScript kodu inyeksiya edə bilər. Bu boşluq 4.5.128 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- praison praisonai4.5.128 və ya daha yeni versiya
- praisonai4.5.128 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| praison praisonai | v < 4.5.128 | 4.5.128 |
| praisonaiPyPI | v < 4.5.128 | 4.5.128 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.