CVE-2026-47392
Açıklama
PraisonAI, çok ajanlı ekipler sistemidir. PraisonAI'nin 4.6.40 sürümünden ve praisonaiagents'ın 1.6.40 sürümüne karşılık gelen öncesinde, `praisonaiagents/tools/python_tools.py` içindeki `execute_code()` (v1.6.37, subprocess sandbox modu), gerçek Python `builtins` modülünü elde etmek için `print.__self__` kullanılarak ve buradan `__import__`'ın `vars()` ve çalışma zamanı dize oluşturma yoluyla çıkarılmasıyla tamamen atlatılabilir. Bu, ana makinede rastgele işletim sistemi komutu çalıştırılmasını sağlayarak sandbox'ı tamamen etkisiz kılar. Bu, CVE-2026-39888 (çerçeve geçişi), CVE-2026-34938 (str alt sınıfı) ve CVE-2026-40158 (`type.__getattribute__` trambolini) için tüm yamalardan sağ çıkan yeni bir atlatma yöntemidir. PraisonAI 4.6.40 sürümü ve praisonaiagents 1.6.40 sürümü güncellenmiş bir düzeltme içermektedir.
Nasıl düzeltilir
- praisonaiagents1.6.40 ya da sonraki bir sürüm
- praisonai4.6.40 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| praisonaiagentsPyPI | v < 1.6.40 | 1.6.40 |
| praisonaiPyPI | v < 4.6.40 | 4.6.40 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.