Plataforma
python
Componente
praisonai
Corrigido em
4.5.91
4.5.90
Uma vulnerabilidade de SQL Injection permite que um invasor execute comandos SQL arbitrários em um banco de dados. No PraisonAI, versões anteriores a 4.5.90, a função getalluserthreads constrói consultas SQL brutas usando f-strings com IDs de thread não escapados. Um invasor pode injetar código malicioso através do updatethread, obtendo acesso total ao banco de dados. A vulnerabilidade foi corrigida na versão 4.5.90.
A vulnerabilidade CVE-2026-34934 no PraisonAI permite que um atacante obtenha acesso total ao banco de dados. Isso se deve a uma falha na função getalluserthreads, que constrói consultas SQL sem a devida sanitização dos IDs de thread. Um atacante pode injetar código malicioso em um ID de thread através da função updatethread. Quando a aplicação carrega a lista de threads, este código injetado é executado, permitindo ao atacante executar comandos arbitrários no banco de dados. A gravidade desta vulnerabilidade é alta (CVSS 9.8) devido ao seu potencial para comprometer a integridade e a confidencialidade dos dados.
Um atacante poderia explorar esta vulnerabilidade armazenando um ID de thread malicioso no banco de dados utilizando a função update_thread. Este ID de thread malicioso conteria código SQL injetado. Quando a aplicação tentar recuperar a lista de threads de usuário, a consulta SQL resultante será executada com o código injetado, permitindo ao atacante acessar o banco de dados e potencialmente executar comandos arbitrários.
Organizations deploying praisonai, particularly those using older versions (≤4.5.9) and those with sensitive data stored in the database, are at significant risk. Shared hosting environments where multiple users share the same database instance are also particularly vulnerable, as an attacker could potentially compromise the entire environment through a single praisonai instance.
• python / server:
grep -r "await data_layer.update_thread(thread_id=" .*/sql_alchemy.py• python / server:
journalctl -u praisonai -f | grep "SQL error"• generic web:
curl -I http://your-praisonai-instance/threads?thread_id='; DROP TABLE users;--disclosure
Status do Exploit
EPSS
0.06% (percentil 20%)
CISA SSVC
Vetor CVSS
Para mitigar esta vulnerabilidade, recomenda-se atualizar o PraisonAI para a versão 4.5.90 ou superior. Esta versão inclui uma correção que sanitiza os IDs de thread antes de serem utilizados em consultas SQL. Além disso, recomenda-se rever o código fonte para identificar e corrigir quaisquer outras instâncias de construção de consultas SQL com f-strings sem a devida sanitização. Implementar o princípio do menor privilégio para as contas de banco de dados também pode ajudar a limitar o impacto de uma possível exploração.
Actualice PraisonAI a la versión 4.5.90 o superior para mitigar la vulnerabilidad de inyección SQL de segundo orden. Asegúrese de que las consultas SQL no construyan consultas SQL dinámicas con datos no escapados de la base de datos. Valide y escape adecuadamente todas las entradas del usuario antes de usarlas en consultas SQL.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
A injeção SQL é uma técnica de ataque que permite a um atacante inserir código SQL malicioso em uma consulta SQL, o que pode permitir que ele acesse dados confidenciais, modifique dados ou até mesmo execute comandos no servidor do banco de dados.
Se você estiver usando uma versão do PraisonAI anterior à 4.5.90, é provável que esteja afetado por esta vulnerabilidade. Verifique a versão instalada e atualize o mais rápido possível.
Se você suspeitar que seu banco de dados foi comprometido, deve notificar imediatamente sua equipe de segurança e tomar medidas para conter os danos, como alterar senhas e revisar os logs de auditoria.
Existem várias ferramentas que podem ajudá-lo a detectar a injeção SQL, incluindo ferramentas de análise estática de código e ferramentas de teste de penetração.
Além de atualizar o PraisonAI, você pode tomar outras medidas de segurança, como implementar o princípio do menor privilégio, usar consultas parametrizadas e validar todas as entradas do usuário.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo requirements.txt e descubra na hora se você está afetado.