प्रैसनएआई टेम्पलेट्स निष्कर्षण में एक मनमाना फ़ाइल लेखन (ज़िप स्लिप) भेद्यता है

इस भेद्यता का फायदा उठाकर, एक हमलावर PraisonAI सिस्टम पर मनमाने ढंग से फ़ाइलें लिख सकता है। इसका मतलब है कि वे महत्वपूर्ण सिस्टम फ़ाइलों को संशोधित कर सकते हैं, दुर्भावनापूर्ण कोड इंजेक्ट कर सकते हैं, या सिस्टम के सामान्य कामकाज को बाधित कर सकते हैं। इस भेद्यता का उपयोग सिस्टम पर पूर्ण नियंत्रण हासिल करने के लिए किया जा सकता है। चूंकि PraisonAI एक मल्टी-एजेंट टीम सिस्टम है, इसलिए इस भेद्यता का फायदा उठाकर हमलावर कई एजेंटों को प्रभावित कर सकता है और व्यापक क्षति पहुंचा सकता है। यह भेद्यता लॉग4शेल जैसी अन्य भेद्यताओं के समान शोषण पैटर्न का उपयोग कर सकती है, जहाँ हमलावर सिस्टम को अनपेक्षित रूप से कार्य करने के लिए मजबूर करते हैं।

Organizations using PraisonAI for collaborative AI development and deployment are at risk, particularly those who allow users to import templates from external sources like GitHub. Shared hosting environments where multiple users share the same PraisonAI installation are also at increased risk, as a compromised template from one user could potentially affect other users.

• python: Monitor PraisonAI logs for suspicious file extraction activity, particularly attempts to write files outside the designated template directory. Look for patterns involving zipfile.extractall() and unusual file paths.

# Example: Monitor for file extraction attempts
import os
import logging

logging.basicConfig(filename='praisona.log', level=logging.INFO)

for root, _, files in os.walk('/path/to/praisona/templates'): # Replace with actual path
    for file in files:
        logging.info(f'File accessed: {os.path.join(root, file)}')

• generic web: Monitor web server access logs for requests to download template archives from external sources. Analyze the downloaded archives for suspicious filenames or directory traversal sequences. • generic web: Check PraisonAI's configuration files for any settings related to template download locations or extraction directories. Ensure these settings are properly secured and restricted.

1. 2026-04-07Disclosure

   disclosure

1. आरक्षित2026-04-06
2. प्रकाशित2026-04-07
3. संशोधित2026-04-09
4. EPSS अद्यतन2026-04-15

CVE-2026-39307 को कम करने के लिए, PraisonAI को तुरंत संस्करण 1.5.113 या उच्चतर में अपडेट करना महत्वपूर्ण है। यदि अपडेट करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, बाहरी स्रोतों से डाउनलोड किए गए टेम्पलेट आर्काइव को निष्कर्षण निर्देशिका के बाहर फ़ाइलों को लिखने से रोकने के लिए फ़ाइल सिस्टम अनुमतियों को सीमित किया जा सकता है। इसके अतिरिक्त, वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग किया जा सकता है ताकि दुर्भावनापूर्ण अनुरोधों को फ़िल्टर किया जा सके जो इस भेद्यता का फायदा उठाने का प्रयास करते हैं। PraisonAI के कॉन्फ़िगरेशन की नियमित रूप से समीक्षा करना और यह सुनिश्चित करना महत्वपूर्ण है कि सभी सुरक्षा सेटिंग्स सही ढंग से कॉन्फ़िगर की गई हैं। अपडेट के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, PraisonAI को नवीनतम सुरक्षा पैच के साथ अपडेट करने के बाद, सिस्टम की अखंडता को सत्यापित करने के लिए फ़ाइल सिस्टम अनुमतियों की जांच करें।