CVE-2026-40160
Açıklama
PraisonAIAgents çoklu ajan ekipleri sistemidir. 1.5.128 sürümünden önce, web_crawl'un httpx yedek yolu, kullanıcı tarafından sağlanan URL'leri herhangi bir ana bilgisayar doğrulaması yapmadan ve follow_redirects=True parametresiyle doğrudan httpx.AsyncClient.get() fonksiyonuna iletmektedir. Dahili bir URL'yi taraması için kandırılan bir LLM ajanı; bulut meta veri uç noktalarına (169.254.169.254), dahili servislere ve localhost'a erişebilir. Yanıt içeriği ajana döndürülür ve saldırgan tarafından görülebilen çıktıda yer alabilir. Bu yedek yol, yeni bir PraisonAI kurulumunda (Tavily anahtarı olmayan ve Crawl4AI yüklü olmayan durumlarda) varsayılan tarama yoludur. Bu güvenlik açığı 1.5.128 sürümünde giderilmiştir.
Nasıl düzeltilir
- praison praisonaiagents1.5.128 ya da sonraki bir sürüm
- praisonaiagents1.5.128 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| praison praisonaiagents | v < 1.5.128 | 1.5.128 |
| praisonaiagentsPyPI | 0.13.23 ≤ v < 1.5.128 | 1.5.128 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.