CVE-2026-57114
Təsvir
PraisonAI çoxagentli komandalar sistemidir. Versiya 4.5.126-dan versiya 4.6.59-a qədər olan versiyalarda PraisonAI-nin Async Jobs API-si, iş sorğusu təhlil edilərkən və daxili Job obyekti qurularkən webhook_url parametrini yoxlayır. Həmin yoxlama birbaşa loopback/özəl hədəfləri bloklayır, lakin sonrakı şəbəkə sorğusuna bağlı deyil. İş tamamlandıqda, _send_webhook() funksiyası orijinal host adını heç bir göndərmə zamanı yoxlaması, IP pininqi və ya qorunan transportu olmadan httpx.AsyncClient.post()-a ötürür. Buna görə də hücumçu tərəfindən idarə olunan host adı Pydantic yoxlaması zamanı ictimai IP ünvanına yönləndirilə bilər və daha sonra webhook çatdırılması zamanı loopback/özəl/bulud metadata infrastrukturuna yönləndirilə bilər. Bu, hazırda dəstəklənən buraxılışlardakı nəzərdə tutulmuş SSRF mühafizəsini yan keçir. Bu, GHSA-8frj-8q3m-xhgm üçün natamam düzəliş / yamadan yan keçmə kimi görünür. Problem 4.6.59 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- praisonai4.6.59 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| praisonaiPyPI | 4.5.126 ≤ v < 4.6.59 | 4.6.59 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.