Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-56078 high CVSS 8.8

Traversée de chemin dans praisonai (CVE-2026-56078)

Résumé

Traversée de chemin dans praisonai (CVE-2026-56078). Des informations confidentielles peuvent être exposées. Exploitable via MultiAgentLedger. Atténuation : mise à jour vers 1.5.115 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Summary

The MultiAgentLedger and MultiAgentMonitor components in the provided code exhibit vulnerabilities that can lead to context leakage and arbitrary file operations. Specifically:

  1. Memory State Leakage via Agent ID Collision: The MultiAgentLedger uses a dictionary to store ledgers by agent ID without enforcing uniqueness. This allows agents with the same ID to share ledger instances, leading to potential leakage of sensitive context data.
  2. Path Traversal in MultiAgentMonitor: The MultiAgentMonitor constructs file paths by concatenating the base_path and agent ID without sanitization. This allows an attacker to escape the intended directory using path traversal sequences (e.g., ../), potentially leading to arbitrary file read/write.

Details

Vulnerability 1: Memory State Leakage

  • File: examples/context/12_multi_agent_context.py:68
  • Description: The MultiAgentLedger class uses a dictionary (self.ledgers) to store ledger instances keyed by agent ID. The get_agent_ledger method creates a new ledger only if the agent ID is not present. If two agents are registered with the same ID, they will share the same ledger instance. This violates the isolation policy and can lead to leakage of sensitive context data (system prompts, conversation history) between agents.
  • Exploitability: An attacker can register an agent with the same ID as a victim agent to gain access to their ledger. This is particularly dangerous in multi-tena…

Source: GitHub Security Advisories (Global) NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-56078 a été découverte dans praisonai.
Des attaquants peuvent cibler un point d'entrée spécifique comme MultiAgentLedger à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 8.8/10.
Action : mettez à jour praisonai vers 1.5.115 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « praisonai CVE-2026-56078 » sur le site de l'éditeur.

CVE-2026-56078 (praisonai) — CWE-22 / CVSS v3 8.8
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : MultiAgentLedger / MultiAgentMonitor / base_path / self.ledgers
Correctif : 1.5.115 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une traversée de chemin (CWE-22) affecte praisonai. Les attaquants atteignent le code vulnérable via MultiAgentLedger.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de praisonai. Surface d'attaque : MultiAgentLedger / MultiAgentMonitor / base_path / self.ledgers.

🔥 Gravité

Gravité : Élevée (CVSS 8.8/10). Des informations confidentielles peuvent être exposées.

🔧 Comment corriger

Mettre à jour vers 1.5.115.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'praisonai' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で praisonai を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Apply patch patch 
    Upgrade praisonai to 1.5.115

    ステージング環境で 1.5.115 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  3. 3
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

pip praisonai
[{"type":"ECOSYSTEM","events":[{"introduced":"0"}]}]
pip praisonaiagents
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"1.5.115"}]}]
PyPI praisonaiagents
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"1.5.115"}]}]

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus