PraisonAIAgents — это многоагентная командная система. До версии 1.5.128 исполнитель перехватов памяти в praisonaiagents передает управляемую пользователем командную строку непосредственно в subprocess.run() с Shell=True в src/praisonai-agents/praisonaiagents/memory/hooks.py. Очистка не выполняется, а метасимволы оболочки интерпретируются /bin/sh перед выполнением намеченной команды.
Существуют две независимые поверхности атаки. Первый — через типы событий-перехватчиков pre_run_command и post_run_command, зарегистрированные через конфигурацию перехватчиков. Вторая и более серьезная проблема — это конфигурация жизненного цикла .praisonai/hooks.json, где перехватчики, зарегистрированные для таких событий, как BEFORE_TOOL и AFTER_TOOL, срабатывают автоматически во время работы агента.
Агент, который получает доступ к записи файлов посредством внедрения подсказки, может перезаписать .praisonai/hooks.json и обеспечить выполнение своих полезных данных в автоматическом режиме при каждом последующем событии жизненного цикла без дальнейшего взаимодействия с пользователем. Эта уязвимость исправлена в версии 1.5.128.
Показать оригинальное описание (EN)
PraisonAIAgents is a multi-agent teams system. Prior to 1.5.128, he memory hooks executor in praisonaiagents passes a user-controlled command string directly to subprocess.run() with shell=True at src/praisonai-agents/praisonaiagents/memory/hooks.py. No sanitization is performed and shell metacharacters are interpreted by /bin/sh before the intended command executes. Two independent attack surfaces exist. The first is via pre_run_command and post_run_command hook event types registered through the hooks configuration. The second and more severe surface is the .praisonai/hooks.json lifecycle configuration, where hooks registered for events such as BEFORE_TOOL and AFTER_TOOL fire automatically during agent operation. An agent that gains file-write access through prompt injection can overwrite .praisonai/hooks.json and have its payload execute silently at every subsequent lifecycle event without further user interaction. This vulnerability is fixed in 1.5.128.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Praison Praisonaiagents
cpe:2.3:a:praison:praisonaiagents:*:*:*:*:*:*:*:*
|
— |
1.5.128
|