PT-2026-32592 · Praisonai · Praisonai
L3Tchupkt
·
Publicado
2026-04-10
·
Atualizado
2026-06-07
·
CVE-2026-40287
CVSS v3.1
8.4
Alta
| Vetor | AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
PraisonAI versões anteriores a 4.5.139
Description
O PraisonAI é um sistema de equipes multi-agentes que permite a execução de código arbitrário devido à importação automática e não sanitizada de um arquivo
tools.py do diretório de trabalho atual. Isso ocorre ao iniciar certos componentes, incluindo os caminhos de carregamento de ferramentas da CLI, a função import tools from file() em call.py e a função load local tools() em tool resolver.py. Um invasor que consiga colocar um arquivo tools.py malicioso no diretório onde o sistema é iniciado — como por meio de um projeto compartilhado, repositório clonado ou espaço de trabalho gravável — pode executar código Python arbitrário no ambiente do host. Isso leva ao comprometimento total do processo, do sistema host e de quaisquer dados ou credenciais conectadas.Recommendations
Atualize para a versão 4.5.139.
Como medida paliativa temporária, certifique-se de que não existam arquivos
tools.py não confiáveis no diretório de trabalho onde o software é iniciado.Exploit
Correção
RCE
Untrusted Search Path
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Praisonai