CVE-2026-55523
Açıklama
PraisonAI bir çoklu ajan ekipleri sistemidir. 1.5.128 ile 1.6.57 arasındaki sürümlerde, praisonaiagents.tools.web_crawl_tools.web_crawl() fonksiyonu sunucu taraflı istek sahteciliği (SSRF) zafiyetine sahiptir. Başlangıçta sağlanan URL'yi doğrulayıp doğrudan loopback ve özel hedefleri engellemesine rağmen, varsayılan httpx geri dönüş mekanizması httpx.Client(follow_redirects=True) kullanır ve ara veya nihai yönlendirme hedeflerini yeniden doğrulamaz. Doğrudan olarak veya bir ajan ya da araç iş akışı aracılığıyla web_crawl()'a iletilen bir URL'yi etkileyebilen bir saldırgan; başlangıç ana bilgisayar kontrolünden geçen ancak daha sonra loopback, özel ağ veya ana bilgisayardan erişilebilen bulut meta veri uç noktalarına yönlenen, saldırgan kontrollü genel bir URL sağlayabilir ve yönlendirilen yanıt gövdesi web_crawl() sonucunda döndürülür. Koruma mekanizmasının yalnızca talep edilen URL'yi doğrulaması ve yönlendirmeden sonra gerçekte getirilen hedefi doğrulamaması nedeniyle bu durum, daha önce açıklanan web_crawl SSRF sınıfı (GHSA-qq9r-63f6-v542 / CVE-2026-40160 ve GHSA-8f4v-xfm9-3244) için eksik bir düzeltme ve yama atlatma teşkil eder. Bu sorun 1.6.58 sürümünde giderilmiştir.
Nasıl düzeltilir
- praisonaiagents1.6.58 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| praisonaiagentsPyPI | 1.5.128 ≤ v < 1.6.58 | 1.6.58 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.