Podatności PraisonAIAgents

W praisonaiagents przed wersją 1.6.59 funkcje ToolsMCPServer.run_sse i launch_tools_mcp_server nasłuchują na 0.0.0.0 i tworzą trasy /sse oraz /messages/ bez wywoływania dostępnych mechanizmów SecurityConfig dotyczących uwierzytelniania, walidacji pochodzenia i ochrony przed DNS rebinding. Każdy osiągalny klient może wyświetlić i wywołać zarejestrowane narzędzia, a przeglądarka może zaatakować lokalną instancję poprzez DNS rebinding.

W bibliotece praisonaiagents przed wersją 1.6.59 funkcja MentionsParser._process_file_mention przyjmuje wartości wzmianek o plikach i w przypadku niepowodzenia rozwiązywania ścieżki względem workspace używa Path(file_path) bez walidacji pod kątem traversal, dowiązań symbolicznych ani granic workspace. Dane wejściowe od użytkowników, botów lub workflow mogą w ten sposób odczytać dowolne pliki dostępne dla procesu, w tym poświadczenia, klucze, pliki środowiskowe, kod źródłowy i konfigurację systemu. Problem naprawiono w wersji 1.6.59.

W bibliotece praisonaiagents przed wersją 1.6.58 funkcja SpiderTools._validate_url wywołuje _host_is_blocked, która sprawdza jedynie literalne zapisy nazwy hosta i nie rozwiązuje nazw DNS przed połączeniem w scrape_page, crawl, extract_links, extract_text lub pobieraniem wzmianek URL. Nazwa hosta kontrolowana przez atakującego, która rozwiązuje się na adres loopback, prywatny, link-local lub cloud-metadata, omija politykę SSRF bez wyścigu rebindingowego i może ujawnić agentowi odpowiedzi z sieci wewnętrznej. Problem naprawiono w wersji 1.6.58.

PraisonAIAgents to system zespołów wieloagentowych. W wersjach przed 1.5.128 ścieżka awaryjna web_crawl z użyciem httpx przekazuje URL-e dostarczone przez użytkownika bezpośrednio do httpx.AsyncClient.get() z follow_redirects=True i bez walidacji hosta. Agent LLM nakłoniony do indeksowania wewnętrznego URL-a może dotrzeć do punktów końcowych metadanych chmury (169.254.169.254), usług wewnętrznych i localhost, a treść odpowiedzi jest zwracana agentowi i może pojawić się w danych wyjściowych widocznych dla atakującego.

PraisonAIAgents w wersjach przed 1.5.128 zawiera lukę w narzędziu list_files() w FileTools. Parametr pattern jest przekazywany bezpośrednio do Path.glob() bez walidacji, co pozwala na path traversal i wyliczenie dowolnych plików poza workspace, ujawniając metadane plików.

W PraisonAIAgents przed wersją 1.5.128 funkcja read_skill_file() w skill_tools.py pozwala na odczyt dowolnych plików z systemu plików poprzez nieograniczony parametr skill_path. W przeciwieństwie do innych funkcji nie ma tu ograniczeń obszaru roboczego ani wymogu zatwierdzenia krytycznego.