प्लेटफ़ॉर्म
python
घटक
praisonaiagents
में ठीक किया गया
4.5.140
1.5.141
1.5.140
CVE-2026-40288 praisonaiagents में एक रिमोट कोड एग्जीक्यूशन (RCE) भेद्यता है। यह भेद्यता हमलावरों को मनमाना कमांड निष्पादित करने की अनुमति देती है, जिससे सिस्टम पर गंभीर प्रभाव पड़ सकता है। यह भेद्यता praisonaiagents के संस्करणों 1.5.99 और उससे पहले को प्रभावित करती है। संस्करण 1.5.140 में एक फिक्स जारी किया गया है।
CVE-2026-40288 भेद्यता का शोषण करने वाला एक हमलावर praisonaiagents सर्वर पर मनमाना कोड निष्पादित कर सकता है। यह हमलावर को सिस्टम पर पूर्ण नियंत्रण प्राप्त करने, संवेदनशील डेटा चोरी करने, या अन्य दुर्भावनापूर्ण गतिविधियाँ करने की अनुमति दे सकता है। विशेष रूप से, workflow run <file.yaml> कमांड के माध्यम से YAML फ़ाइलों को लोड करने की प्रक्रिया में असुरक्षित हैंडलिंग के कारण यह संभव है। YAML फ़ाइल में type: job और उसके भीतर run:, script:, या python: जैसे चरण शामिल हो सकते हैं, जो क्रमशः शेल कमांड निष्पादन, इनलाइन पायथन निष्पादन और मनमाना पायथन स्क्रिप्ट निष्पादन को ट्रिगर करते हैं। यह भेद्यता Log4Shell जैसी शोषण पैटर्न के समान है, जहां इनपुट को अनियंत्रित रूप से संसाधित किया जाता है, जिससे हमलावर मनमाना कोड निष्पादित कर सकते हैं।
CVE-2026-40288 को अभी तक CISA KEV सूची में शामिल नहीं किया गया है, लेकिन इसकी गंभीरता को देखते हुए, भविष्य में इसे शामिल किया जा सकता है। EPSS स्कोर अभी उपलब्ध नहीं है। सार्वजनिक रूप से उपलब्ध प्रूफ-ऑफ-कॉन्सेप्ट (PoC) मौजूद हैं, जो इस भेद्यता के शोषण की संभावना को बढ़ाते हैं। 2026-04-10 को CVE प्रकाशित किया गया था, जो सार्वजनिक रूप से भेद्यता के प्रकटीकरण को दर्शाता है। सक्रिय शोषण अभियान की कोई पुष्टि नहीं है, लेकिन भेद्यता की गंभीरता और PoC की उपलब्धता के कारण, शोषण का जोखिम बना हुआ है।
Organizations utilizing praisonaiagents for workflow automation, particularly those with untrusted YAML file inputs, are at significant risk. Environments where the praisonai workflow run command is exposed to external users or systems are especially vulnerable. Teams relying on praisonaiagents for critical infrastructure or sensitive data processing should prioritize remediation.
• python / server:
Get-Process -Name praisonaiagents | Select-Object -ExpandProperty Path• python / server:
journalctl -u praisonaiagents -g 'subprocess.run' | grep -i 'exploit.yaml'• python / server:
ps aux | grep -i 'exec(' | grep -i 'praisonaiagents'disclosure
poc
एक्सप्लॉइट स्थिति
EPSS
0.09% (25% शतमक)
CISA SSVC
CVSS वेक्टर
CVE-2026-40288 के लिए प्राथमिक शमन उपाय praisonaiagents को संस्करण 1.5.140 या बाद के संस्करण में अपग्रेड करना है। यदि अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, YAML फ़ाइलों को लोड करते समय इनपुट सत्यापन और सैनिटाइजेशन लागू किया जा सकता है। इसके अतिरिक्त, वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग दुर्भावनापूर्ण YAML फ़ाइलों को ब्लॉक करने के लिए किया जा सकता है। प्रासंगिक लॉग फ़ाइलों की निगरानी करना और असामान्य गतिविधि के लिए अलर्ट सेट करना भी महत्वपूर्ण है। praisonaiagents के कॉन्फ़िगरेशन की समीक्षा करें और सुनिश्चित करें कि केवल विश्वसनीय स्रोतों से YAML फ़ाइलें लोड की जा रही हैं। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, प्रासंगिक कमांड चलाकर और यह सुनिश्चित करके कि कोई अनपेक्षित व्यवहार नहीं है।
PraisonAI को संस्करण 4.5.139 या उच्चतर में अपडेट करें, और praisonaiagents को संस्करण 1.5.140 या उच्चतर में अपडेट करें। ये संस्करण YAML फ़्लो फ़ाइलों के माध्यम से मनमाना कमांड निष्पादन को मान्य और प्रतिबंधित करके भेद्यता को ठीक करते हैं।
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2026-40288 praisonaiagents में एक रिमोट कोड एग्जीक्यूशन (RCE) भेद्यता है जो हमलावरों को मनमाना कमांड निष्पादित करने की अनुमति देती है।
यदि आप praisonaiagents के संस्करण 1.5.99 या उससे पहले का उपयोग कर रहे हैं, तो आप प्रभावित हैं।
praisonaiagents को संस्करण 1.5.140 या बाद के संस्करण में अपग्रेड करें।
सक्रिय शोषण अभियान की कोई पुष्टि नहीं है, लेकिन भेद्यता की गंभीरता के कारण, शोषण का जोखिम बना हुआ है।
praisonaiagents के आधिकारिक सलाहकार के लिए praisonaiagents वेबसाइट या संबंधित सुरक्षा बुलेटिन बोर्ड की जांच करें।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।
अपनी requirements.txt फ़ाइल अपलोड करें और तुरंत जानें कि आप प्रभावित हैं या नहीं।