Më 7 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-g6j7-pffp-8whg (CVE-2026-62176) për një dobësi me rrezikshmëri kritike (CVSS 9.1) në paketën PraisonAI të ekosistemit PyPI.
Paketat e prekura
- PraisonAI (PyPI) — versionet e prekura:
<= 4.6.77; versioni me rregullim:4.6.78
Detaje
- Rrezikshmëria: Kritike (CVSS 9.1)
- CWE: CWE-94 (Improper Control of Generation of Code ('Code Injection'))
- Identifikuesit: GHSA-g6j7-pffp-8whg, CVE-2026-62176
Përmbledhja zyrtare (në anglisht)
PraisonAI: Code Injection via f-string Interpolation in Deploy API Server Generation — Summary The deploy/api.py module generates Python server code by directly interpolating the agents_file parameter into an f-string that is then written to a file and executed via subprocess.Popen() . An attacker who controls the agents_file value (via CLI argument, configuration, or upstream API) can inject arbitrary Python code. Details src/praisonai/praisonai/deploy/api.py (line 80): The generated code is then executed (line 190): agents_file is never sanitized or validated. A malicious value breaks out of the string context: The same pattern exists in…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin PraisonAI, përditësojeni sa më shpejt në versionin 4.6.78 ose më të ri.
