PT-2026-32596 · Praisonai · Praisonai
Choseogyeong
·
Publicado
2026-04-10
·
Atualizado
2026-05-09
·
CVE-2026-40315
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Name of the Vulnerable Software and Affected Versions
PraisonAI versões anteriores a 4.5.133
Description
Uma injeção de identificador SQL existe no SQLiteConversationStore, onde o valor de configuração
table prefix é concatenado diretamente em consultas SQL usando f-strings, sem validação ou sanitização. Como os identificadores SQL não podem ser parametrizados com segurança, um invasor que consiga influenciar o valor de table prefix por meio de entradas de configuração, como from yaml ou from dict, pode injetar fragmentos SQL arbitrários. Isso permite a alteração de estruturas de consulta, possibilitando o acesso não autorizado a dados, como a leitura de tabelas internas do SQLite, como a sqlite master, e a manipulação de resultados de consultas por meio de técnicas como injeção baseada em UNION. O problema se origina em config.py, propaga-se através de factory.py via a função create stores from config e atinge o ponto final em sqlite.py.Recommendations
Atualizar para a versão 4.5.133.
Exploit
Correção
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Praisonai