CVE-2026-57142
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
PraisonAI to system zespołów wieloagentowych. Od wersji 4.5.87 do wcześniejszej wersji 4.6.61 wykonanie receptury PraisonAI ma politykę dotyczącą niebezpiecznych narzędzi, która ma blokować narzędzia domyślnie odrzucone, chyba że osoba wywołująca jawnie przekaże zezwolenieallow_dangerous_tools=True. Ta zasada sprawdza tylko narzędzia zadeklarowane w pliku TEMPLATE.yaml require.tools. W przypadku receptur opartych na krokach rzeczywista ścieżka wykonania ładuje plik flow.yaml za pomocą YAMLWorkflowParser. Ten parser rozwiązuje narzędzia na poziomie agenta: deklaracje i zachowuje zatwierdzanie najwyższego poziomu:. Następnie Workflow.start() instaluje narzędzia zatwierdzone przez YAML w kontekście zatwierdzania. W rezultacie niezaufana receptura może pominąć polecenie_wykonania z pliku TEMPLATE.yaml require.tools, zadeklarować je w work.yaml agents.*.tools i dodać zatwierdzenie najwyższego poziomu: [polecenie_wykonania]. Osoba wywołująca nie ustawiłallow_dangerous_tools=True, ale zasady receptury zezwalają na przepis, a ścieżka zatwierdzania przepływu pracy automatycznie zatwierdza krytyczne narzędzie powłoki. Ten problem został naprawiony w wersji 4.6.61.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org