CVE-2026-41497

Command Injection w PraisonAI — brak walidacji poleceń MCP

CVSS 9.8v3.1pub. 2026-05-08

PraisonAI w wersjach przed 4.6.9 zawiera podatność na command injection w mechanizmie obsługi poleceń MCP, umożliwiającą wykonanie dowolnych poleceń systemowych bez uwierzytelnienia. Podatność jest krytyczna ze względu na brak jakiejkolwiek walidacji argumentów przekazywanych do funkcji parse_mcp_command().

▸ Pokaż oryginał (EN)

PraisonAI is a multi-agent teams system. Prior to version 4.6.9, the fix for PraisonAI's MCP command handling does not add a command allowlist or argument validation to parse_mcp_command(), allowing arbitrary executables like bash, python, or /bin/sh with inline code execution flags to pass through to subprocess execution. This issue has been patched in version 4.6.9.

🤖 Analiza AI

Jak działa

Funkcja parse_mcp_command() odpowiedzialna za obsługę poleceń MCP (Multi-agent Command Protocol) nie implementuje listy dozwolonych poleceń (allowlist) ani walidacji przekazywanych argumentów. Atakujący może w związku z tym przekazać dowolny plik wykonywalny — w tym bash, python czy /bin/sh — wraz z flagami umożliwiającymi inline execution kodu. Tak spreparowane polecenie jest następnie bezpośrednio przekazywane do wywołania subprocess i wykonywane w kontekście systemu operacyjnego.

Skutki

Atakujący zdalny, nieuwierzytelniony może uzyskać pełną kontrolę nad systemem — wykonać dowolny kod, odczytać lub zmodyfikować dane oraz doprowadzić do niedostępności usługi (RCE z pełnymi triami C/I/A).

Mitygacja

Należy zaktualizować PraisonAI do wersji 4.6.9 lub nowszej, w której wprowadzono patcha usuwającego podatność (commit 47bff65413beaa3c21bf633c1fae4e684348368c). Szczegóły dostępne w referencjach producenta (GitHub Security Advisory GHSA-9qhq-v63v-fv3j).

Kogo dotyczy

PraisonAI (Praison Praisonai) w wersjach wcześniejszych niż 4.6.9

Uwagi

Podatność stanowi niekompletną naprawę wcześniejszego zgłoszenia dotyczącego obsługi poleceń MCP w PraisonAI — poprzedni fix nie wprowadził wymaganej listy dozwolonych poleceń ani walidacji argumentów.