CVE-2026-39306
Açıklama
PraisonAI çoklu ajan ekipleri sistemidir. 1.5.113 sürümünden önce, PraisonAI'nin reçete kayıt defteri çekme akışı, saldırgan tarafından kontrol edilen .praison tar arşivlerini tar.extractall() ile çıkarır ve çıkarma işleminden önce arşiv üye yollarını doğrulamaz. Kötü niyetli bir yayıncı, ../ dizin geçiş girişleri içeren bir reçete paketi yükleyebilir ve daha sonra bu reçeteyi çeken herhangi bir kullanıcı, seçtikleri çıktı dizininin dışına dosyalar yazacaktır. Bu durum, reçete kayıt defteri iş akışının istemci tarafında bir yol geçişi / rastgele dosya yazma zafiyetidir. Hem yerel kayıt defteri çekme yolunu hem de HTTP kayıt defteri çekme yolunu etkiler. Kötü niyetli geçiş yükü imzalı paketin kendisinin bir parçası olduğu için sağlama toplamı (checksum) doğrulaması istismarı önlemez. Bu zafiyet 1.5.113 sürümünde giderilmiştir.
Nasıl düzeltilir
- praisonai4.5.113 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| praison praisonai | v ≤ 4.5.112 | — |
| praisonaiPyPI | v < 4.5.113 | 4.5.113 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.