PraisonAI: Shell-Command-Injection über Dateitools mit Compute-Bridge

Zusammenfassung

PraisonAI, ein System für Multi-Agenten, übergibt Pfadargumente von Dateitools in Shell-Befehlszeichenketten, wenn bei LocalManagedAgent oder SandboxedAgent ein Compute-Provider eingebunden ist. Ein Angreifer, der ein Pfadargument beeinflussen kann, etwa durch Prompt Injection in vom Agenten verarbeiteten Inhalten, kann die Anführungszeichen des Pfads aufbrechen und beliebige Shell-Befehle ausführen. Bei compute="local" laufen die Befehle auf dem Host, bei Docker im Container. Der Angriff funktioniert auch dann, wenn der Betreiber das Tool execute_command nicht freigegeben hat.

Betroffen

• PraisonAI (praisonai auf PyPI) ab 4.6.10 bis vor 4.6.59 (die GHSA gibt den betroffenen Bereich bis 4.6.57 an)
• Betroffene Komponenten: read_file, list_files und write_file, wenn die Compute-Bridge aktiv ist

Behoben in

• Auf PraisonAI 4.6.59 oder neuer aktualisieren

Umgehung

• Unbekannt. Der Hersteller dokumentiert keine Workaround.
• Übergangsmassnahme (nicht vom Hersteller): read_file, list_files und write_file aus dem Compute-Bridge-Toolset entfernen oder für betroffene Agenten keinen Compute-Provider einbinden, bis das Update eingespielt ist.

Ausnutzung

• CISA-SSVC-Bewertung: Exploitation "poc"; automatisierbar "no"; technische Auswirkung "total".
• Die GHSA-Beratung enthält einen lokalen Proof-of-Concept-Reproducer.
• In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gefunden. Die gefundenen Ausnutzungsmeldungen betreffen eine andere PraisonAI-Schwachstelle (CVE-2026-44338).

Unsere Empfehlung

• Alle PraisonAI-Installationen erfassen, inklusive Lockfiles und Container-Images, und prüfen, ob LocalManagedAgent oder SandboxedAgent mit einem Compute-Provider eingesetzt werden.
• Auf PraisonAI 4.6.59 oder neuer aktualisieren.
• Bis dahin Dateitools aus Agenten entfernen, die unvertrauenswürdige Eingaben verarbeiten, oder die Compute-Bridge für diese deaktivieren.
• Agenten in einem eng begrenzten Container ohne Host-Mounts und ohne Geheimnisse betreiben, um die Auswirkungen einer Kompromittierung zu begrenzen.
• Agenten-Logs auf unerwartete Shell-Zeichen in Dateipfaden prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-w6h2-fr4q-xvxv github.com
• OSV: GHSA-w6h2-fr4q-xvxv osv.dev
• OSV: PYSEC-2026-3522 osv.dev
• Vulners: NVD CVE-2026-57117 vulners.com
• Strix: CVE-2026-57117 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:47.