Vulnerabilidades do Pip Praisonai

PraisonAI before 4.6.78 contains arbitrary file write and command execution vulnerabilities in the AICoder component due to missing path validation and command sanitization in LLM tool calls. Attackers can inject malicious prompts through the chat interface to write files to arbitrary filesystem locations and execute arbitrary shell commands with root privileges.

PraisonAI é um sistema de equipes de multiagentes. Antes da versão 4.6.34, o servidor MCP (Model Context Protocol) do PraisonAI (praisonai mcp serve) registra por padrão quatro ferramentas de manipulação de arquivos: praisonai.rules.create, praisonai.rules.show, praisonai.rules.delete e praisonai.workflow.show. Cada uma aceita uma string de caminho ou nome de arquivo a partir dos argumentos de tools/call do MCP e a concatena a ~/.praison/rules/ (ou, no caso de workflow.show, aceita um caminho absoluto) sem qualquer verificação de contenção. O despachante JSON-RPC repassa params["arguments"] sem validação a cada handler via **kwargs, sem checar contra o esquema de entrada anunciado. Ao definir rule_name="../../<algum-caminho>", um atacante sai do diretório de regras e consegue gravar qualquer arquivo que o usuário em execução possa gravar. Colocar um arquivo .pth do Python no diretório site-packages do usuário escala esse primitivo para execução de código arbitrário em qualquer processo Python que o usuário inicie depois, como a próxima invocação da CLI praisonai, a execução de um script em uma IDE, o REPL python do usuário ou qualquer serviço Python em segundo plano. Este problema foi corrigido na versão 4.6.34.

PraisonAI is a multi-agent teams system. Prior to version 4.6.9, the fix for PraisonAI's MCP command handling does not add a command allowlist or argument validation to parse_mcp_command(), allowing arbitrary executables like bash, python, or /bin/sh with inline code execution flags to pass through to subprocess execution. This issue has been patched in version 4.6.9.

PraisonAI é um sistema de equipes multiagente. Antes da 4.5.133, há uma vulnerabilidade de injeção de identificador SQL no SQLiteConversationStore, em que o valor de configuração table_prefix é concatenado diretamente em consultas SQL por meio de f-strings, sem qualquer validação ou sanitização. Como identificadores SQL não podem ser parametrizados com segurança, um atacante que controle o valor de table_prefix (por exemplo, por meio de entrada de configuração em from_yaml ou from_dict) pode injetar fragmentos SQL arbitrários que alteram a estrutura da consulta. Isso permite acesso não autorizado a dados, como a leitura de tabelas internas do SQLite como sqlite_master, e a manipulação de resultados de consulta por técnicas como injeção baseada em UNION. A vulnerabilidade se propaga desde a entrada de configuração em config.py, passando por factory.py, até a construção da consulta SQL em sqlite.py. A exploração exige a capacidade de influenciar a entrada de configuração, e a exploração bem-sucedida leva à divulgação de esquema interno e à adulteração completa dos resultados de consultas. Este problema foi corrigido na versão 4.5.133.

PraisonAI é um sistema de equipes multiagente. Nas versões anteriores à 4.5.139 do PraisonAI e à 1.5.140 do praisonaiagents, a ponte do navegador (praisonai browser start) é vulnerável a sequestro remoto e não autenticado de sessões, devido à ausência de autenticação e a uma verificação de origem contornável no endpoint WebSocket /ws. O servidor escuta em 0.0.0.0 por padrão e só valida o cabeçalho Origin quando ele está presente, o que significa que qualquer cliente que não seja navegador e omita o cabeçalho é aceito sem restrição. Um atacante de rede não autenticado pode conectar-se, enviar uma mensagem start_session, e o servidor a encaminhará para a primeira conexão WebSocket de extensão de navegador ociosa (efetivamente sequestrando essa sessão), para depois transmitir de volta ao atacante todas as ações e saídas de automação resultantes. Isso possibilita controle remoto não autorizado de sessões de automação de navegador conectadas, vazamento de contexto sensível de páginas e resultados de automação, e uso indevido de ações de navegador baseadas em modelos em qualquer ambiente em que a ponte seja acessível pela rede. Este problema foi corrigido nas versões 4.5.139 do PraisonAI e 1.5.140 do praisonaiagents.

PraisonAI é um sistema de equipes multiagente. Nas versões anteriores à 4.5.139 do PraisonAI e à 1.5.140 do praisonaiagents, o mecanismo de workflow é vulnerável a execução arbitrária de comandos e de código por meio de arquivos YAML não confiáveis. Quando praisonai workflow run <file.yaml> carrega um arquivo YAML com type: job, o JobWorkflowExecutor em job_workflow.py processa etapas que aceitam run: (comandos de shell via subprocess.run()), script: (Python inline via exec()) e python: (execução de script Python arbitrário), todas sem qualquer validação, sandboxing ou confirmação do usuário. Os caminhos de código afetados incluem action_run() em workflow.py e _exec_shell(), _exec_inline_python() e _exec_python_script() em job_workflow.py. Um atacante que consiga fornecer ou influenciar um arquivo YAML de workflow (particularmente em pipelines de CI, repositórios compartilhados ou ambientes de implantação multi-inquilino) pode obter execução arbitrária de comandos completa no sistema hospedeiro, comprometendo a máquina e quaisquer dados ou credenciais acessíveis. Este problema foi corrigido nas versões 4.5.139 do PraisonAI e 1.5.140 do praisonaiagents.

O PraisonAI é um sistema de equipes multiagente. Antes da versão 4.5.128, o PraisonAI trata arquivos de template obtidos remotamente como código executável confiável, sem verificação de integridade, validação de origem ou confirmação do usuário, o que possibilita ataques à cadeia de suprimentos por meio de templates maliciosos. Esta vulnerabilidade está corrigida na versão 4.5.128.