CVE-2026-40289
Təsvir
PraisonAI çoxagentli komandalar sistemidir. PraisonAI-ın 4.5.139-dan aşağı və praisonaiagents-in 1.5.140-dan aşağı versiyalarında brauzer körpüsü (praisonai browser start), autentifikasiyanın olmaması və /ws WebSocket son nöqtəsindəki keçilə bilən mənşə yoxlaması səbəbindən autentifikasiyasız uzaqdan sessiyanın ələ keçirilməsinə qarşı həssasdır. Server standart olaraq 0.0.0.0 ünvanına bağlanır və Origin başlığını yalnız mövcud olduqda yoxlayır, bu isə başlığı təqdim etməyən hər hansı qeyri-brauzer müştərisinin məhdudiyyətsiz qəbul edildiyi anlamına gəlir. Autentifikasiya olunmamış şəbəkə hücumçusu qoşula və start_session mesajı göndərə bilər; server isə onu ilk boş brauzer-extension WebSocket-nə yönləndirəcək (effektiv şəkildə həmin sessiyanı ələ keçirəcək) və daha sonra bütün nəticələnən avtomatlaşdırma hərəkətləri ilə çıxışları hücumçuya ötürəcəkdir. Bu, qoşulmuş brauzer avtomatlaşdırma sessiyalarının icazəsiz uzaqdan idarə edilməsinə, həssas səhifə kontekstinin və avtomatlaşdırma nəticələrinin sızmasına, həmçinin körpünün şəbəkədən əlçatan olduğu istənilən mühitdə model dəstəkli brauzer hərəkətlərindən sui-istifadəyə imkan verir. Bu problem PraisonAI-ın 4.5.139 və praisonaiagents-in 1.5.140 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- praison praisonai4.5.139 və ya daha yeni versiya
- praison praisonaiagents1.5.140 və ya daha yeni versiya
- praisonaiagents1.5.140 və ya daha yeni versiya
- praisonai4.5.139 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| praison praisonai | v < 4.5.139 | 4.5.139 |
| praison praisonaiagents | v < 1.5.140 | 1.5.140 |
| praisonaiagentsPyPI | v < 1.5.140 | 1.5.140 |
| praisonaiPyPI | v < 4.5.139 | 4.5.139 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.