PT-2026-29826 · Praisonai · Praisonai

Yerang30 · Publicado 2026-04-01 · Atualizado 2026-04-03 · CVE-2026-34939

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Name of the Vulnerable Software and Affected Versions PraisonAI versões anteriores a 4.5.90

Description A função MCPToolIndex.search tools() do PraisonAI compila diretamente uma string fornecida pelo chamador como uma expressão regular Python sem validação, sanitização ou tempo limite. Uma expressão regular criada pode causar retrocesso catastrófico no mecanismo re, bloqueando o thread Python por centenas de segundos e levando a uma interrupção completa do serviço. A função search tools() recebe uma consulta diretamente do chamador sem validação e a compila usando re.compile(). Este padrão compilado é então usado para pesquisar nomes e dicas de ferramentas. A questão está localizada em tool index.py nas linhas 365 a 368.

Recommendations Atualize o PraisonAI para a versão 4.5.90 ou posterior.

Correção

DoS

Enumeração de Fraquezas

CWE-1333

Identificadores relacionados

CVE-2026-34939

GHSA-8W9J-HC3G-3G7F

Produtos afetados

Praisonai

Referências · 4

• https://github.com/MervinPraison/PraisonAI · Nota
• https://github.com/MervinPraison/PraisonAI/security/advisories/GHSA-8w9j-hc3g-3g7f · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-8w9j-hc3g-3g7f · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-34939 · Nota de Segurança