- Son 7 gün
- CWE-78
- CWE-863
CVE-2026-57117
PraisonAI'de sıkıştırma köprüsü üzerinden dosya araçları kabuk komut enjeksiyonuna açık
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
PraisonAI, çok ajanlı ekip sistemidir. 4.6.10 sürümünden 4.6.59 sürümünden önceki sürümlere kadar, bir hesaplama sağlayıcısı eklendiğinde LocalManagedAgent / SandboxedAgent bileşenlerindeki hesaplama köprüsü read_file, list_files ve write_file işlevlerini sarmaktadır. Köprü, bu dosya işlemlerini ham yol argümanlarını kullanarak kabuk komut dizelerine dönüştürmekte ve bu dizeleri kabuk tabanlı hesaplama sağlayıcılarına göndermektedir. Dosya aracı yol argümanını etkileyebilen bir saldırgan, tırnak içindeki yoldan çıkıp hesaplama ortamında rastgele kabuk komutları çalıştırabilir. compute="local" ayarında komutlar, ana sistemdeki yerel alt süreç hesaplama sağlayıcısı üzerinden çalıştırılır. Docker kullanıldığında ise komutlar konteyner içinde çalıştırılır. Bu sorun, 4.6.59 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
PraisonAI is a multi-agent teams system. From version 4.6.10 to before version 4.6.59, LocalManagedAgent / SandboxedAgent compute bridging wraps read_file, list_files, and write_file when a compute provider is attached. The bridge converts those file operations into shell command strings using raw path arguments, then sends those strings to shell-backed compute providers. An attacker who can influence a file-tool path argument can break out of the quoted path and execute arbitrary shell commands in the compute environment. With compute="local", commands execute through the local subprocess compute provider on the host. With Docker, commands execute in the container. This issue has been patched in version 4.6.59.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| MervinPraison PraisonAI | Sürüm belirtilmemiş | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.