CVE-2026-61444

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.1
EPSS: —
CWE: CWE-94
KEV Durumu: Hayır

Yayım tarihi: 10 Temmuz 2026

PraisonAI'nin 4.6.78'den önceki sürümleri, deploy/api.py'de agents_file parametresinin doğrudan bir f-dizeye sansürleme olmadan yerleştirildiği bir kod enjeksiyon zafiyeti içerir. Saldırganlar, subprocess.Popen() aracılığıyla çalıştırılan oluşturulan sunucu kodu aracılığıyla任意 Python kodu enjekte edebiliyorlar.

Orijinal açıklama (İngilizce)

PraisonAI versions before 4.6.78 contain a code injection vulnerability in deploy/api.py where the agents_file parameter is directly interpolated into an f-string without sanitization. Attackers can inject arbitrary Python code that executes when the generated server code runs via subprocess.Popen().

Referanslar

https://github.com/MervinPraison/PraisonAI/security/advisories/GHSA-g6j7-pffp-8whg
https://www.vulncheck.com/advisories/praisonai-before-code-injection-via-f-string
https://github.com/MervinPraison/PraisonAI/security/advisories/GHSA-g6j7-pffp-8whg

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.