Przejdź do treści
Alerty bezpieczeństwa 1 min czytania

CVE-2026-61447: wykonanie kodu wygenerowanego przez LLM bez piaskownicy w PraisonAI (CVSS 10.0)

PraisonAI przed 1.6.78 wykonuje kod Pythona wygenerowany przez LLM bez walidacji AST, ograniczeń importów i piaskownicy, co przy prompt injection prowadzi do RCE...

Podsumowanie

ParametrWartość
CVE IDCVE-2026-61447
Źródło alertuGitHub Advisory - Krytyczna podatność
Rok publikacji CVE2026
Data publikacji2026-07-11
ProducentPraisonAI
ProduktPraisonAI
CVSS Score10.0 (Krytyczny)
EPSS ScoreBrak danych
CISA KEVNie
RansomwareNie potwierdzono

Opis podatności

Źródło: NVD

PraisonAI w wersjach przed 1.6.78 zawiera podatność umożliwiającą zdalne wykonanie kodu w metodzie CodeAgent._execute_python(), która wykonuje kod Pythona wygenerowany przez LLM bez walidacji AST, ograniczeń importów ani wymuszenia piaskownicy. Atakujący mogą wpłynąć na wyjście modelu przez prompt injection, aby wykraść wszystkie sekrety środowiskowe i wykonać dowolny kod w systemie hosta.

Wymagane działania

Zastosuj poprawki lub środki zaradcze producenta niezwłocznie po ich udostępnieniu.

Kogo dotyczy?

Podatność dotyczy produktu PraisonAI firmy PraisonAI. Sprawdź, czy Twoja organizacja używa tego oprogramowania i czy wymaga aktualizacji.

Źródła


Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.

Dowiedz się więcej

Udostępnij:

Porozmawiaj z ekspertem

Masz pytania dotyczące tego tematu? Skontaktuj się z naszym opiekunem.

Opiekun handlowy
Grzegorz Gnych

Grzegorz Gnych

Opiekun handlowy

Odpowiedź w ciągu 24 godzin
Bezpłatna konsultacja
Indywidualne podejście

Podanie numeru telefonu przyspieszy kontakt.

Chcesz obniżyć ryzyko i koszty IT?

Umów bezpłatną konsultację - odpowiemy w ciągu 24h

Odpowiedź w 24h Bezpłatna wycena Bez zobowiązań

Lub pobierz bezpłatny przewodnik:

Pobierz checklistę NIS2