PraisonAI: execute_code में str सबक्लास (str Subclass) startswith() ओवरराइड (Override) के माध्यम से पायथन सैंडबॉक्स एस्केप (Python Sandbox Escape)

CVE-2026-34938 PraisonAI को प्रभावित करता है, विशेष रूप से praisonai-agents के भीतर executecode() फ़ंक्शन को। यह भेद्यता हमलावर को लागू सुरक्षा परतों को दरकिनार करते हुए, मनमाना ऑपरेटिंग सिस्टम कोड निष्पादित करने की अनुमति देती है। समस्या safe_getattr द्वारा startswith() विधि को ओवरराइड करने वाले सबक्लास के साथ str ऑब्जेक्ट को कैसे संभाला जाता है, इसमें निहित है। इस प्रकार के ऑब्जेक्ट प्रदान करके, हमलावर सुरक्षा को दरकिनार कर सकता है और PraisonAI प्रक्रिया के विशेषाधिकारों के साथ ऑपरेटिंग सिस्टम कमांड निष्पादित कर सकता है। CVSS गंभीरता को 10.0 पर रेट किया गया है, जो एक गंभीर जोखिम दर्शाता है। प्रभावित संस्करण 1.5.90 से पहले हैं। इस भेद्यता का सफल शोषण सिस्टम के पूर्ण उल्लंघन का कारण बन सकता है।

1. आरक्षित2026-03-31
2. प्रकाशित2026-04-01
3. संशोधित2026-04-06
4. EPSS अद्यतन2026-04-11

CVE-2026-34938 को कम करने का समाधान PraisonAI को संस्करण 1.5.90 या उच्चतर में अपडेट करना है। इस संस्करण में एक फिक्स शामिल है जो safegetattr फ़ंक्शन को पारित किए गए ऑब्जेक्ट के प्रकार को सही ढंग से मान्य करके भेद्यता को संबोधित करता है। इस बीच, एक अस्थायी उपाय के रूप में, executecode() फ़ंक्शन तक पहुंच को विश्वसनीय उपयोगकर्ताओं और प्रक्रियाओं तक सीमित करें। executecode() का उपयोग करने वाले किसी भी कोड की समीक्षा और ऑडिट करना भी उचित है ताकि संभावित हमले के प्रवेश बिंदुओं की पहचान की जा सके। PraisonAI चलाने वाले खातों के लिए न्यूनतम विशेषाधिकार के सिद्धांत को लागू करने से सफल शोषण के मामले में प्रभाव को कम करने में मदद मिल सकती है।