CVE-2026-40114
Açıklama
PraisonAI çoklu ajan ekipleri sistemidir. 4.5.128 sürümünden önce, /api/v1/runs uç noktası istek gövdesinde herhangi bir URL doğrulaması olmaksızın rastgele bir webhook_url kabul etmektedir. Gönderilen bir iş tamamlandığında (başarı veya başarısızlık), sunucu httpx.AsyncClient kullanarak bu URL'ye bir HTTP POST isteği gönderir. Kimliği doğrulanmamış bir saldırgan, bunu sunucunun rastgele dahili veya harici hedeflere POST istekleri göndermesini sağlamak için kullanabilir; bu durum bulut meta veri servislerine, dahili API'lere ve diğer ağ komşusu servislere karşı SSRF yapılmasına olanak tanır. Bu güvenlik açığı 4.5.128 sürümünde giderilmiştir.
Nasıl düzeltilir
- praison praisonai4.5.128 ya da sonraki bir sürüm
- praisonai4.5.128 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| praison praisonai | v < 4.5.128 | 4.5.128 |
| praisonaiPyPI | v < 4.5.128 | 4.5.128 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.