CVE-2026-41496
Açıklama
PraisonAI çoklu ajan ekipleri sistemidir. praisonai sürüm 4.6.9 ve praisonaiagents sürüm 1.6.9 öncesinde, CVE-2026-40315 için getirilen düzeltme yalnızca SQLiteConversationStore'a girdi doğrulaması eklemiştir. Dokuz kardeş arka uç — MySQL, PostgreSQL, async SQLite/MySQL/PostgreSQL, Turso, SingleStore, Supabase, SurrealDB — table_prefix parametresini doğrudan f-string SQL içine aktarmaktadır. Aynı kök neden, aynı kod deseni ve aynı istismar yöntemi söz konusudur; kod tabanı genelinde doğrulanmamış 52 enjeksiyon noktası bulunmaktadır. Ayrıca postgres.py, DDL içinde doğrudan kullanılan doğrulanmamış bir schema parametresi kabul etmektedir. Bu sorun praisonai sürüm 4.6.9 ve praisonaiagents sürüm 1.6.9 ile yamalanmıştır.
Nasıl düzeltilir
- praison praisonai4.6.9 ya da sonraki bir sürüm
- praison praisonaiagents1.6.9 ya da sonraki bir sürüm
- praisonai4.5.149 ya da sonraki bir sürüm
- praisonaiagents1.6.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| praison praisonai | v < 4.6.9 | 4.6.9 |
| praison praisonaiagents | v < 1.6.9 | 1.6.9 |
| praisonaiPyPI | v < 4.5.149 | 4.5.149 |
| praisonaiagentsPyPI | v < 1.6.8 | 1.6.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.