PraisonAI रेसिपी रजिस्ट्री प्रकाशित पथ पारगमन से रूट के बाहर फ़ाइल लेखन की अनुमति मिलती है

यह भेद्यता हमलावरों को PraisonAI Recipe Registry सर्वर पर मनमाने ढंग से फ़ाइलें लिखने की अनुमति देती है। हमलावर रजिस्ट्री रूट के बाहर फ़ाइलें बना सकते हैं, जिससे संवेदनशील डेटा का खुलासा हो सकता है या सिस्टम पर नियंत्रण प्राप्त हो सकता है। एक हमलावर रजिस्ट्री कॉन्फ़िगरेशन फ़ाइलों को संशोधित कर सकता है, दुर्भावनापूर्ण कोड इंजेक्ट कर सकता है, या अन्य सिस्टम संसाधनों तक पहुंच प्राप्त कर सकता है। यह भेद्यता विशेष रूप से उन वातावरणों में गंभीर है जहां PraisonAI Recipe Registry का उपयोग महत्वपूर्ण डेटा संग्रहीत करने या महत्वपूर्ण कार्यों को करने के लिए किया जाता है। इस भेद्यता का शोषण एक हमलावर को सिस्टम पर पूर्ण नियंत्रण प्राप्त करने की अनुमति दे सकता है।

Organizations utilizing PraisonAI Recipe Registry in production environments, particularly those with automated deployment pipelines or allowing external recipe bundle uploads, are at risk. Shared hosting environments where multiple users can upload recipe bundles are also particularly vulnerable.

• nodejs / server:

  grep -r '../' /var/log/nginx/access.log

• nodejs / server:

  journalctl -u praisonai-registry -g 'manifest.json'

• generic web:

  curl -I http://your-praisonai-registry/api/v1/recipes/upload | grep 'Server:'

1. 2026-04-07Disclosure

   disclosure

1. आरक्षित2026-04-06
2. प्रकाशित2026-04-07
3. संशोधित2026-04-09
4. EPSS अद्यतन2026-04-15

CVE-2026-39308 को कम करने के लिए, PraisonAI Recipe Registry को संस्करण 1.5.113 में अपडेट करना आवश्यक है। यदि तत्काल अपडेट संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके रजिस्ट्री रूट के बाहर फ़ाइल निर्माण को रोकने के लिए नियमों को कॉन्फ़िगर किया जा सकता है। इसके अतिरिक्त, रजिस्ट्री रूट के बाहर फ़ाइलों को लिखने से रोकने के लिए रजिस्ट्री कॉन्फ़िगरेशन को कड़ा किया जा सकता है। अपडेट के बाद, यह सत्यापित करें कि रजिस्ट्री रूट के बाहर कोई नई फ़ाइलें नहीं बनाई जा सकती हैं।