CVE-2026-57138
Təsvir
PraisonAI çoxagentli komandalar sistemidir. 1.4.0 versiyasından 1.7.2 versiyasına qədər src/praisonai-ts/src/tools/builtins/code-mode.ts faylındakı codeMode, etibarsız JavaScript kodunu with(sandbox) daxilində new Function() vasitəsilə icra edir və kiçik bir mənbə kodu blok siyahısına, həmçinin kölgələnmiş process və require xüsusiyyətlərinə əsaslanır. Kod, elan edilmiş qumcuya (sandbox) baxmayaraq, real Function konstruktorunu bərpa etmək, process və process.mainModule.require obyektlərini əldə etmək, habelə host fayl sistemi və altproses API-lərinə çatmaq üçün ({}).constructor.constructor istifadə edə bilər. codeMode girişini idarə edən hücumçular gizli məlumatları oxuya, faylları dəyişdirə, əmrləri icra edə və ya host prosesini tükəndirə bilərlər. Bu problem 1.7.2 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- praisonai1.7.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| praisonainpm | 1.4.0 ≤ v < 1.7.2 | 1.7.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.