CVE-2026-55532
Təsvir
PraisonAI çoxagentli komandalar sistemidir. Praisonai 4.6.58 versiyasından əvvəl, MCP HTTP Stream _validate_origin funksiyası request_origin.startswith(allowed) metodundan istifadə edir ki, bu da hücumçunun nəzarətində olan localhost.attacker.com HTTP mənşəsinin (origin) localhost ağ siyahısını təmin etməsinə şərait yaradır. Veb səhifə preflight olmadan Content-Type: text/plain sorğuları göndərə və API açarı olmadan alətləri çağıra bilər, bura agent təlimatlarını qalıcı edən fayl yazma əməliyyatları da daxildir. Bu problem 4.6.58 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- praisonai4.6.58 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| praisonaiPyPI | v < 4.6.58 | 4.6.58 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.