- Son 7 gün
- CWE-22
- CWE-200
CVE-2026-56833
PraisonAI Dynamic Context araçlarında yol geçişi (path traversal) nedeniyle yapılandırılmış depolama dışındaki dosyalar okunabiliyor
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
PraisonAI çok ajanlı ekip sistemidir. 3.8.1 sürümünden 4.6.59 sürümünden önceki sürümlere kadar, PraisonAI'nin Dynamic Context modülü dosya sistemi tabanlı geçmiş ve terminal günlüğü depolaması sunar. Modül ayrıca ajanların çağırabildiği araç fabrikalarını dışa aktarır. Bu araçlar, araç çağıranından gelen run_id ve agent_id argümanlarını kabul eder. Altta yatan depolar bu değerleri dosya yollarına birleştirirken mutlak yolları veya .. ile yol geçişini reddetmez. run_id mutlak bir yol olabildiği ve agent_id yol geçişi içerebildiği için, bu araçları çağırabilen daha düşük güven seviyesindeki bir istem/kullanıcı, yapılandırılmış Dynamic Context temel dizini dışındaki .jsonl ve .log dosyalarını okuyabilir. Bu sorun 4.6.59 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
PraisonAI is a multi-agent teams system. From version 3.8.1 to before version 4.6.59, PraisonAI's Dynamic Context module provides filesystem-backed history and terminal-log storage. The module also exports agent-callable tool factories. Those tools accept run_id and agent_id arguments from the tool caller. The underlying stores join those values into filesystem paths without rejecting absolute paths or .. traversal. Because run_id can be an absolute path and agent_id can contain traversal, a lower-trust prompt/user that can call these tools can read .jsonl and .log files outside the configured Dynamic Context base directory. This issue has been patched in version 4.6.59.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| MervinPraison PraisonAI | Sürüm belirtilmemiş | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.