Injection SQL dans praisonai (CVE-2026-40315)
Résumé
Injection SQL dans praisonai (CVE-2026-40315). Risque d'opérations non autorisées ou de divulgation. Exploitable via table_prefix. Atténuation : mise à jour vers 4.5.133 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
The table_prefix configuration value is directly used to construct SQL table identifiers without validation.
If an attacker controls this value, they can manipulate SQL query structure, leading to unauthorized data access (e.g., reading internal SQLite tables such as sqlite_master) and tampering with query results.
Details
This allows attackers to inject arbitrary SQL fragments into table identifiers, effectively altering query execution.
This occurs because table_prefix is passed from configuration (from_yaml / from_dict) into SQLiteConversationStore and directly concatenated into SQL queries via f-strings:
sessions_table = f"{table_prefix}sessions"
This value is then used in queries such as:
SELECT * FROM {self.sessions_table}
Since SQL identifiers cannot be safely parameterized and are not validated, attacker-controlled input can modify SQL query structure.
The vulnerability originates from configuration input and propagates through the following flow:
-
Source: config.py
(from_yaml/from_dict) accepts external configuration input -
Propagation: factory.py
(create_stores_from_config) passesconversation_optionsw…
Source: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-40315 a été découverte dans praisonai.
Des attaquants peuvent cibler un point d'entrée spécifique comme table_prefix à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour praisonai vers 4.5.133 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « praisonai CVE-2026-40315 » sur le site de l'éditeur.
CVE-2026-40315 (praisonai) — CWE-89
Surface d'attaque : table_prefix / sqlite_master / from_yaml / from_dict
Correctif : 4.5.133 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une injection SQL (CWE-89) affecte praisonai. Les attaquants atteignent le code vulnérable via table_prefix.
Consultez l'avis de l'éditeur pour les versions affectées de praisonai. Surface d'attaque : table_prefix / sqlite_master / from_yaml / from_dict.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 4.5.133.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'praisonai' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
praisonaiを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade praisonai to 4.5.133ステージング環境で 4.5.133 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com
- web github.com