PT-2026-30766 · Praisonai · Praisonai
Liyander
·
Publicado
2026-04-06
·
Atualizado
2026-04-07
·
CVE-2026-39307
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
PraisonAI versões anteriores a 1.5.113
Descrição
PraisonAI é um sistema de equipes multi-agente. O recurso de instalação de templates é suscetível a um ataque de "Zip Slip" Arbitrary File Write. Ao baixar e extrair arquivos de template de fontes externas, a aplicação usa
zipfile.extractall() do Python sem verificar se os arquivos dentro do arquivo resolvem fora do diretório de extração pretendido. Um arquivo ZIP especialmente criado pode conter entradas de arquivo com caminhos relativos que, quando extraídos, podem sobrescrever arquivos arbitrários no sistema de arquivos da vítima. O código vulnerável está localizado em src/praisonai/praisonai/cli/features/templates.py (Linha 852) e usa a função zipfile.extractall(). Uma prova de conceito envolve a criação de um arquivo ZIP malicioso com entradas de arquivo contendo sequências de travessia de diretório (por exemplo, '../../../../../../../tmp/zip slip pwned.txt') e induzir um usuário a instalar o template. Isso pode levar à corrupção do sistema ou à Execução Remota de Código (RCE).Recomendações
Atualize para a versão 1.5.113 ou posterior do PraisonAI.
Correção
Relative Path Traversal
Path traversal
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Praisonai