CVE-2026-44340
Açıklama
PraisonAI çoklu ajan ekipleri sistemidir. Versiyon 4.6.37 öncesinde, tüm recipe pull, recipe publish ve recipe unpack akışlarının yönlendirildiği _safe_extractall yardımcısı; her arşiv üyesinin adını mutlak yollar, .. bölümleri ve çözümlenmiş yol kaçışları için doğrular ancak member.linkname değerini doğrulamaz, sembolik bağ (symlink)/sert bağ (hardlink) üyelerini reddetmez ve tar.extractall(dest_dir) fonksiyonunu filter="data" parametresi olmadan çağırır. dest_dir içinde bir ada sahip olan ancak linkname değeri dışarıyı işaret eden bir sembolik bağ içeren ve ardından yeni oluşturulan bu sembolik bağ üzerinden geçen bir yola sahip normal bir dosya ile gelen paket, dest_dir dışına çıkarak saldırganın kurbanın dosya sisteminde seçtiği rastgele bir konuma istenilen içeriği yazmasına olanak tanır. Bu sorun versiyon 4.6.37 ile düzeltilmiştir.
Nasıl düzeltilir
- praison praisonai4.6.37 ya da sonraki bir sürüm
- praisonai4.6.37 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| praison praisonai | v < 4.6.37 | 4.6.37 |
| praisonaiPyPI | v < 4.6.37 | 4.6.37 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.