CVE-2026-61447
حرجةتم النشر
PraisonAI قبل الإصدار 1.6.78: تنفيذ كود عن بُعد عبر CodeAgent
- تم النشر
- 11/07/2026
- محدث
- 13/07/2026
- تخصيص CNA
- VulnCheck
- الأدلة المرصودة
- 11/08/2026
CVSS الأساسي
10.0/ 10حرجة
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X2.5%
منخفض · الثلاثين يومًا القادمة
- المئوية
- 83.8%
- تاريخ الموديل
- 21/09/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
يحتوي PraisonAI قبل الإصدار 1.6.78 على ثغرة تنفيذ كود عن بُعد في CodeAgent._execute_python() التي تنفّذ كود Python المُولَّد بواسطة LLM دون التحقق من AST أو تقييد الاستيراد أو فرض العزل. يمكن للمهاجمين التأثير على مخرجات LLM من خلال حقن المطالبات (prompt injection) لسرقة جميع أسرار البيئة وتنفيذ كود تعسفي على النظام المضيف.
المصادر
1banyamer · multiple · 11/08/2026
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.