PraisonAI: `get_all_user_threads` में सेकंड-ऑर्डर SQL इंजेक्शन (Second-Order SQL Injection)

PraisonAI में CVE-2026-34934 भेद्यता एक हमलावर को डेटाबेस तक पूरी पहुंच प्राप्त करने की अनुमति देती है। यह getalluserthreads फ़ंक्शन में त्रुटि के कारण है, जो SQL प्रश्नों का निर्माण करते समय थ्रेड आईडी को ठीक से सैनिटाइज नहीं करता है। एक हमलावर updatethread फ़ंक्शन के माध्यम से थ्रेड आईडी में दुर्भावनापूर्ण कोड इंजेक्ट कर सकता है। जब एप्लिकेशन थ्रेड सूची लोड करता है, तो यह इंजेक्ट किया गया पेलोड निष्पादित होता है, जिससे हमलावर डेटाबेस पर मनमाना कमांड निष्पादित कर सकता है। इस भेद्यता की गंभीरता उच्च है (CVSS 9.8) क्योंकि यह डेटा की अखंडता और गोपनीयता से समझौता कर सकती है।

Organizations deploying praisonai, particularly those using older versions (≤4.5.9) and those with sensitive data stored in the database, are at significant risk. Shared hosting environments where multiple users share the same database instance are also particularly vulnerable, as an attacker could potentially compromise the entire environment through a single praisonai instance.

• python / server:

grep -r "await data_layer.update_thread(thread_id=" .*/sql_alchemy.py

• python / server:

journalctl -u praisonai -f | grep "SQL error"

• generic web:

curl -I http://your-praisonai-instance/threads?thread_id='; DROP TABLE users;--

1. 2026-04-01Disclosure

   disclosure

1. आरक्षित2026-03-31
2. प्रकाशित2026-04-01
3. संशोधित2026-04-06
4. EPSS अद्यतन2026-04-11

इस भेद्यता को कम करने के लिए, PraisonAI को संस्करण 4.5.90 या उच्चतर में अपडेट करने की अनुशंसा की जाती है। इस संस्करण में एक फिक्स शामिल है जो SQL प्रश्नों में उपयोग करने से पहले थ्रेड आईडी को सैनिटाइज करता है। इसके अतिरिक्त, किसी भी अन्य उदाहरण की पहचान करने और ठीक करने के लिए स्रोत कोड की समीक्षा करें जहां f-strings का उपयोग उचित सैनिटाइजेशन के बिना SQL प्रश्नों का निर्माण करने के लिए किया जाता है। डेटाबेस खातों के लिए न्यूनतम विशेषाधिकार के सिद्धांत को लागू करने से भी संभावित शोषण के प्रभाव को सीमित करने में मदद मिल सकती है।