PT-2026-31782 · Praisonai+1 · Praisonai+1

Publicado 2026-04-09 · Atualizado 2026-04-10 · CVE-2026-40113

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.4

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

Name of the Vulnerable Software and Affected Versions PraisonAI versões anteriores a 4.5.128

Description PraisonAI é um sistema de equipes multiagentes. O script deploy.py constrói uma string delimitada por vírgulas para o argumento gcloud run deploy --set-env-vars interpolando diretamente openai model, openai key e openai base sem validar a presença de vírgulas. O comando gcloud usa uma vírgula como separador de pares chave-valor no argumento --set-env-vars. Uma vírgula em qualquer um desses três valores faz com que o gcloud analise incorretamente o texto subsequente como definições adicionais de KEY=VALUE, levando à injeção de variáveis de ambiente arbitrárias no serviço Cloud Run implantado.

Recommendations Atualize o PraisonAI para a versão 4.5.128 ou posterior.

Correção

Argument Injection

Enumeração de Fraquezas

CWE-88

Identificadores relacionados

CVE-2026-40113

GHSA-FVXX-GGMX-3CJG

Produtos afetados

Praisonai

Wgcloud

Referências · 7

• https://github.com/MervinPraison/PraisonAI · Nota
• https://github.com/MervinPraison/PraisonAI/releases/tag/v4.5.128 · Nota
• https://github.com/MervinPraison/PraisonAI/security/advisories/GHSA-fvxx-ggmx-3cjg · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-40113 · Nota de Segurança
• https://twitter.com/CVEnew/status/2042561843395465530 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2042431215475610102 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-fvxx-ggmx-3cjg · Aviso do Fabricante