Към съдържанието
Търсене

CVE-2026-44339: MervinPraison PraisonAI, друго

8.6

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

PraisonAI is a multi-agent teams system. Prior to praisonai version 4.6.37 and praisonaiagents version 1.6.37, praisonaiagents resolves unresolved tool names against module globals and __main__ after it fails to match the declared tool list and the registry. With the default agent configuration, _perm_allow is None, so undeclared non-dangerous tool names are not rejected by the permission gate. An attacker who can influence tool-call names can therefore invoke unintended application callables that were never declared as tools. This issue has been patched in praisonai version 4.6.37 and praisonaiagents version 1.6.37.

Засегнати продукти

  • MervinPraison PraisonAI: praisonaiagents < 1.6.37; praisonai < 4.6.37

Вид слабост

История

  • 8 май 2026 Публикувано

Други уязвимости в MervinPraison PraisonAI

Първоизточници

CVE-2026-44339: MervinPraison PraisonAI, друго | freedomonline.bg