CVE-2026-56837
Təsvir
PraisonAI çoxagentli komandalar sistemidir. Versiya 4.6.56-dan versiya 4.6.59-a qədər olan versiyalarda PraisonAI-ın LinearBot komponenti 0.0.0.0 ünvanında ictimai webhook dinləyicisi başladır və LINEAR_WEBHOOK_SECRET parametrini opsional hesab edir. Secret mövcud olmadıqda, start zamanı yalnız xəbərdarlıq loquna yazılır və _handle_webhook() funksiyası Linear-Signature yoxlamasını tamamilə ötürür. Webhook son nöqtəsinə (endpoint) çata bilən autentifikasiya olunmamış şəbəkə çağırıcısı saxtalaşdırılmış Linear-Event: AgentSession sorğusu göndərə bilər. Saxtalaşdırılmış sorğu təhlil edilir, arxa planda emal üçün planlaşdırılır, _handle_agent_session() funksiyasına yönləndirilir və BotSessionManager.chat() metoduna ötürülür. Daha sonra bot konfiqurasiya edilmiş bot tokeni altında agent cavabını Linear-a geri göndərməyə çalışır. PoV oflayn və deterministikdir. O, Linear ilə əlaqə saxlamır. O, birbaşa webhook idarəedicisini çağırır, çıxan Linear şərhi yolunu monkey-patch edir və sərhədin hər iki tərəfini sübut edir. Bu problem versiya 4.6.59-da düzəldilmişdir.
Necə düzəltmək olar
- praisonai4.6.59 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| praisonaiPyPI | 4.6.56 ≤ v < 4.6.59 | 4.6.59 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.