CVE-2026-56834
Açıklama
PraisonAI çoklu ajan ekipleri sistemidir. Versiyon 3.8.1 ile versiyon 4.6.59 öncesi arasında, PraisonAI'nin Dinamik Bağlam Keşfi özelliği, artifact yardımcı araçlarını ctx.get_tools() aracılığıyla açığa çıkarmaktadır. Uygulanan artifact araçları, sağlanan artifact_path'in yapılandırılmış depo tarafından oluşturulan bir artifact olduğunu veya yapılandırılmış artifact temel dizini altında bulunduğunu zorunlu kılmaz. Bunun yerine; artifact_head, artifact_tail, artifact_grep ve artifact_chunk, çağırıcı tarafından sağlanan yolu doğrudan bir ArtifactRef içine sarar ve ardından ana bilgisayar dosya sisteminden okur. Sonuç olarak, bu araç argümanlarını etkileyebilen herhangi bir istem/kullanıcı/araç-çağırıcısı; proje .env dosyaları, bulut kimlik bilgileri, SSH anahtarları, kaynak dosyalar veya diğer yerel veriler gibi PraisonAI işlemi tarafından okunabilen dosyaları okuyabilir. Bu sorun versiyon 4.6.59'da düzeltilmiştir.
Nasıl düzeltilir
- praisonai4.6.59 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| praisonaiPyPI | 3.8.1 ≤ v < 4.6.59 | 4.6.59 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.