CVE-2026-56837
Açıklama
PraisonAI, çoklu ajan ekipleri sistemidir. Versiyon 4.6.56 ile 4.6.59 öncesi arasındaki sürümlerde, PraisonAI'nin LinearBot bileşeni 0.0.0.0 üzerinde genel bir webhook dinleyicisi başlatır ve LINEAR_WEBHOOK_SECRET değerini isteğe bağlı olarak değerlendirir. Secret eksik olduğunda, başlangıçta yalnızca bir uyarı günlüğü tutulur ve _handle_webhook() fonksiyonu Linear-Signature doğrulamasını tamamen atlar. Webhook uç noktasına erişebilen kimliği doğrulanmamış bir ağ çağırıcısı, sahte bir Linear-Event: AgentSession isteği gönderebilir. Sahte istek ayrıştırılır, arka plan işlemi için planlanır, _handle_agent_session() fonksiyonuna yönlendirilir ve BotSessionManager.chat() içerisine aktarılır. Ardından bot, yapılandırılmış bot token'ı altında ajan yanıtını tekrar Linear'a göndermeye çalışır. PoV çevrimdışı ve deterministiktir; Linear ile iletişim kurmaz. Doğrudan webhook işleyiciyi çağırır, giden Linear yorum yolunu monkey-patch yöntemiyle yamalar ve sınırın her iki tarafını da kanıtlar. Bu sorun versiyon 4.6.59 ile düzeltilmiştir.
Nasıl düzeltilir
- praisonai4.6.59 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| praisonaiPyPI | 4.6.56 ≤ v < 4.6.59 | 4.6.59 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.