CVE-2026-55523

PraisonAI çoxagentli komandalar sistemidir. 1.5.128 və 1.6.57 versiyaları arasında praisonaiagents.tools.web_crawl_tools.web_crawl() funksiyası server tərəfli sorğu saxtakarlığına (SSRF) qarşı həssasdır. Funksiya ilkin təmin edilən URL-i yoxlasa və birbaşa loopback və şəxsi ünvanları bloklasa da, standart httpx ehtiyat variantı httpx.Client(follow_redirects=True) istifadə edir və ara və ya yekun yönləndirmə hədəflərini yenidən yoxlamır. web_crawl()-ə ötürülən URL-ə birbaşa, yaxud agent və ya alət iş axını vasitəsilə təsir göstərə bilən hücumçu, ilkin host yoxlamasından keçən və daha sonra hostdan əlçatan olan loopback, şəxsi şəbəkə və ya bulud metadata son nöqtələrinə yönləndirilən özünə məxsus ictimai URL təqdim edə bilər və yönləndirilmiş cavabın gövdəsi web_crawl() nəticəsində geri qaytarılır. Bu, əvvəllər açıqlanmış web_crawl SSRF sinfi (GHSA-qq9r-63f6-v542 / CVE-2026-40160 və GHSA-8f4v-xfm9-3244) üçün natamam düzəliş və yamadan yan keçmə deməkdir, çünki mühafizə mexanizmi yalnız sorğu edilən URL-i yoxlayır, yönləndirmədən sonra faktiki olaraq əldə edilən hədəfi yoxlamır. Bu problem 1.6.58 versiyasında aradan qaldırılmışdır.