- Son 7 gün
- CWE-78
- CWE-693
- CWE-863
CVE-2026-56838
PraisonAI recipe.run_stream fonksiyonunda tehlikeli araç politikası atlanıyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
PraisonAI, çok ajanlı ekiplerin kurulmasına yarayan bir sistemdir. 4.5.87 sürümünden 4.6.59 sürümünün öncesine kadar olan sürümlerde, PraisonAI tarif (recipe) yürütmesi, çağırıcı allow_dangerous_tools=True parametresini açıkça geçirmediği sürece varsayılan olarak engellenen tehlikeli araçları engellemektedir. Normal recipe.run yolu bu kontrolü _check_tool_policy ile uygular. Ancak akış yolu olan recipe.run_stream, aynı tarifi yükler, bağımlılıkları denetler ve ardından tehlikeli araç politika kontrolünü çalıştırmadan _execute_recipe fonksiyonunu çağırır. Sonuç olarak, TEMPLATE.yaml dosyasının requires.tools bölümünde dürüstçe execute_command aracını bildiren bir tarif, recipe.run tarafından reddedilirken, allow_dangerous_tools=False ile recipe.run_stream üzerinden yürütme motoruna ulaşabilmektedir. Bu sorun 4.6.59 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
PraisonAI is a multi-agent teams system. From version 4.5.87 to before version 4.6.59, PraisonAI recipe execution blocks default-denied dangerous tools unless the caller explicitly passes allow_dangerous_tools=True. The normal recipe.run() path enforces this with _check_tool_policy(). The streaming path, recipe.run_stream(), loads the same recipe, checks dependencies, and then calls _execute_recipe() without running the dangerous-tool policy check. As a result, a recipe that honestly declares execute_command in TEMPLATE.yaml requires.tools is denied by recipe.run(), but reaches the execution engine through recipe.run_stream() with allow_dangerous_tools=False. This issue has been patched in version 4.6.59.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| MervinPraison PraisonAI | Sürüm belirtilmemiş | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.