Vulnerabilidades do MervinPraison PraisonAI

PraisonAI é um sistema de equipes de multiagentes. Antes da versão 4.6.34, o servidor MCP (Model Context Protocol) do PraisonAI (praisonai mcp serve) registra por padrão quatro ferramentas de manipulação de arquivos: praisonai.rules.create, praisonai.rules.show, praisonai.rules.delete e praisonai.workflow.show. Cada uma aceita uma string de caminho ou nome de arquivo a partir dos argumentos de tools/call do MCP e a concatena a ~/.praison/rules/ (ou, no caso de workflow.show, aceita um caminho absoluto) sem qualquer verificação de contenção. O despachante JSON-RPC repassa params["arguments"] sem validação a cada handler via **kwargs, sem checar contra o esquema de entrada anunciado. Ao definir rule_name="../../<algum-caminho>", um atacante sai do diretório de regras e consegue gravar qualquer arquivo que o usuário em execução possa gravar. Colocar um arquivo .pth do Python no diretório site-packages do usuário escala esse primitivo para execução de código arbitrário em qualquer processo Python que o usuário inicie depois, como a próxima invocação da CLI praisonai, a execução de um script em uma IDE, o REPL python do usuário ou qualquer serviço Python em segundo plano. Este problema foi corrigido na versão 4.6.34.

O PraisonAI é um sistema de equipes multiagente. Antes da versão 1.6.32, a lógica de verificação de URLs no PraisonAI apresenta uma falha lógica que pode ser contornada por atacantes, levando a ataques de SSRF. Este problema foi corrigido na versão 1.6.32.

PraisonAI is a multi-agent teams system. Prior to version 4.6.9, the fix for PraisonAI's MCP command handling does not add a command allowlist or argument validation to parse_mcp_command(), allowing arbitrary executables like bash, python, or /bin/sh with inline code execution flags to pass through to subprocess execution. This issue has been patched in version 4.6.9.

PraisonAI é um sistema de equipes multiagente. Antes da 4.5.133, há uma vulnerabilidade de injeção de identificador SQL no SQLiteConversationStore, em que o valor de configuração table_prefix é concatenado diretamente em consultas SQL por meio de f-strings, sem qualquer validação ou sanitização. Como identificadores SQL não podem ser parametrizados com segurança, um atacante que controle o valor de table_prefix (por exemplo, por meio de entrada de configuração em from_yaml ou from_dict) pode injetar fragmentos SQL arbitrários que alteram a estrutura da consulta. Isso permite acesso não autorizado a dados, como a leitura de tabelas internas do SQLite como sqlite_master, e a manipulação de resultados de consulta por técnicas como injeção baseada em UNION. A vulnerabilidade se propaga desde a entrada de configuração em config.py, passando por factory.py, até a construção da consulta SQL em sqlite.py. A exploração exige a capacidade de influenciar a entrada de configuração, e a exploração bem-sucedida leva à divulgação de esquema interno e à adulteração completa dos resultados de consultas. Este problema foi corrigido na versão 4.5.133.

PraisonAI é um sistema de equipes multiagente. Nas versões 4.5.139 e anteriores, os workflows do GitHub Actions são vulneráveis ao ataque ArtiPACKED, um vetor conhecido de vazamento de credenciais causado pelo uso de actions/checkout sem definir persist-credentials: false. Por padrão, actions/checkout grava o GITHUB_TOKEN (e, às vezes, o ACTIONS_RUNTIME_TOKEN) no arquivo .git/config para persistência, e se qualquer etapa subsequente do workflow enviar artefatos (saídas de build, logs, resultados de testes etc.), esses tokens podem ser incluídos inadvertidamente. Como o PraisonAI é um repositório público, qualquer usuário com acesso de leitura pode baixar esses artefatos e extrair os tokens vazados, potencialmente permitindo que um atacante envie código malicioso, comprometa releases e pacotes PyPI e Docker, roube segredos do repositório e execute um comprometimento completo da cadeia de suprimentos que afeta todos os usuários downstream. O problema abrange diversos arquivos de workflow e de ação em .github/workflows/ e .github/actions/. Este problema foi corrigido na versão 4.5.140.

PraisonAI é um sistema de equipes multiagente. Nas versões anteriores à 4.5.139 do PraisonAI e à 1.5.140 do praisonaiagents, a ponte do navegador (praisonai browser start) é vulnerável a sequestro remoto e não autenticado de sessões, devido à ausência de autenticação e a uma verificação de origem contornável no endpoint WebSocket /ws. O servidor escuta em 0.0.0.0 por padrão e só valida o cabeçalho Origin quando ele está presente, o que significa que qualquer cliente que não seja navegador e omita o cabeçalho é aceito sem restrição. Um atacante de rede não autenticado pode conectar-se, enviar uma mensagem start_session, e o servidor a encaminhará para a primeira conexão WebSocket de extensão de navegador ociosa (efetivamente sequestrando essa sessão), para depois transmitir de volta ao atacante todas as ações e saídas de automação resultantes. Isso possibilita controle remoto não autorizado de sessões de automação de navegador conectadas, vazamento de contexto sensível de páginas e resultados de automação, e uso indevido de ações de navegador baseadas em modelos em qualquer ambiente em que a ponte seja acessível pela rede. Este problema foi corrigido nas versões 4.5.139 do PraisonAI e 1.5.140 do praisonaiagents.

PraisonAI é um sistema de equipes multiagente. Nas versões anteriores à 4.5.139 do PraisonAI e à 1.5.140 do praisonaiagents, o mecanismo de workflow é vulnerável a execução arbitrária de comandos e de código por meio de arquivos YAML não confiáveis. Quando praisonai workflow run <file.yaml> carrega um arquivo YAML com type: job, o JobWorkflowExecutor em job_workflow.py processa etapas que aceitam run: (comandos de shell via subprocess.run()), script: (Python inline via exec()) e python: (execução de script Python arbitrário), todas sem qualquer validação, sandboxing ou confirmação do usuário. Os caminhos de código afetados incluem action_run() em workflow.py e _exec_shell(), _exec_inline_python() e _exec_python_script() em job_workflow.py. Um atacante que consiga fornecer ou influenciar um arquivo YAML de workflow (particularmente em pipelines de CI, repositórios compartilhados ou ambientes de implantação multi-inquilino) pode obter execução arbitrária de comandos completa no sistema hospedeiro, comprometendo a máquina e quaisquer dados ou credenciais acessíveis. Este problema foi corrigido nas versões 4.5.139 do PraisonAI e 1.5.140 do praisonaiagents.

O PraisonAI é um sistema de equipes multiagente. Antes da versão 4.5.128, o PraisonAI trata arquivos de template obtidos remotamente como código executável confiável, sem verificação de integridade, validação de origem ou confirmação do usuário, o que possibilita ataques à cadeia de suprimentos por meio de templates maliciosos. Esta vulnerabilidade está corrigida na versão 4.5.128.