CVE-2026-61437
Təsvir
1.6.78 versiyasından əvvəlki PraisonAI (pip paketi praisonaiagents), AgentFlow._resolve_pydantic_class (src/praisonai-agents/praisonaiagents/workflows/workflows.py) funksiyasında təhlükəsiz olmayan dinamik modul yükləmə zəifliyi ehtiva edir. İş axını (workflow) addımı sətir tipli output_pydantic istinadından istifadə etdikdə, freymvork PRAISONAI_ALLOW_*_TOOLS mühit dəyişənlərini nəzərə almadan və qum sandbox tətbiq etmədən, iş axını faylının kataloqundakı qonşu tools.py faylını importlib exec_module vasitəsilə tapır və idxal edir. İş axını faylına və onun qonşu tools.py faylına nəzarət edən hücumçu, iş axını WorkflowManager vasitəsilə və ya load_yaml-dan sonra icra edildikdə, iş axını icraçısının imtiyazları ilə ixtiyari Python kodunu icra edə bilər.
Necə düzəltmək olar
- praisonaiagents1.6.78 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| praisonaiagentsPyPI | v < 1.6.78 | 1.6.78 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.