CVE-2026-34937
Açıklama
PraisonAI, çoklu ajan ekipleri sistemidir. Versiyon 1.5.90 öncesinde, praisonai içerisindeki run_python(), kullanıcı kontrollü kodu python3 -c "<code>" ifadesine ekleyerek bir kabuk komutu dizisi oluşturur ve bunu subprocess.run(..., shell=True) fonksiyonuna iletir. Kaçış mantığı yalnızca \ ve " karakterlerini işlediğinden, $() ve ters tırnak (backtick) yerleştirmeleri kaçışsız kalmakta ve bu durum Python çağrılmadan önce rastgele işletim sistemi komutlarının çalıştırılmasına olanak tanımaktadır. Bu sorun versiyon 1.5.90 ile düzeltilmiştir.
Nasıl düzeltilir
- praison praisonaiagents1.5.90 ya da sonraki bir sürüm
- praisonaiagents1.5.90 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| praison praisonaiagents | v < 1.5.90 | 1.5.90 |
| praisonaiagentsPyPI | v < 1.5.90 | 1.5.90 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.