PraisonAI: Code-Injection über f-String-Interpolation in der Deploy API

Zusammenfassung

PraisonAI, ein System für Multi-Agent-Teams, erzeugt in deploy/api.py Python-Servercode, indem der Wert von agents_file in einen f-String eingesetzt wird. Der Code wird danach in eine Datei geschrieben und mit subprocess.Popen() ausgeführt. Der Wert wird nicht validiert, daher kann ein Angreifer, der ihn kontrolliert (über CLI-Argument, Konfigurationsdatei oder vorgelagerte API), beliebigen Python-Code einschleusen. Der eingeschleuste Code läuft mit den Rechten des Benutzers, der den Deploy-Befehl startet, und kann dabei auf API-Schlüssel und weitere Geheimnisse zugreifen. Laut Hersteller ist das Problem in Version 4.6.78 behoben, eine Drittanbieter-Analyse bestreitet jedoch, dass diese Version existiert; die behobene Version muss daher verifiziert werden. Auch die Schweregrade unterscheiden sich deutlich zwischen NVD (9.1) und VulDB (4.3).

Betroffen

• PraisonAI (pip-Paket praisonai) vor 4.6.78 (Herstellerhinweis: <= 4.6.77)
• Dasselbe Fehlermuster existiert in deploy/docker.py (Erzeugung von Dockerfiles)

Behoben in

• Version 4.6.78 laut Herstellerhinweis (GHSA-g6j7-pffp-8whg)
• Nicht verifiziert: Eine Drittanbieter-Analyse meldet kein Release 4.6.78 auf PyPI und ein erstes Release über 4.6.77 als 4.6.81. Vor dem Rollout die behobene Version auf PyPI oder im GitHub-Commit bestätigen.

Umgehung

• Vom Hersteller wird kein Workaround veröffentlicht.
• Empfehlung der Analysten bis zur Behebung: Die Deploy API nicht exponieren und nicht zulassen, dass nicht vertrauenswürdige CLI-Argumente, Konfigurationsdateien oder Daten vorgelagerter APIs agents_file setzen.

Ausnutzung

• Ein Proof of Concept ist im Hersteller-Hinweis enthalten; CISA SSVC führt die Ausnutzung als 'poc' und die Automatisierbarkeit als 'no'.
• Es ist nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird; es wurden keine Angriffe gemeldet.

Unsere Empfehlung

• Alle PraisonAI-Installationen (pip und Docker) erfassen und deren Versionen prüfen.
• Auf die verifizierte behobene Version aktualisieren; sich bis zur Bestätigung nicht auf 4.6.78 verlassen.
• Prüfen, ob die Deploy API lauscht, und den Netzwerkzugriff darauf einschränken.
• Einschränken, wer Agenten-Konfigurationen und agents_file-Werte ändern darf; Konfigurationsdateien und CI/CD-Eingaben bis zur Behebung als nicht vertrauenswürdig behandeln.
• Deploy-Hosts auf unerwartete, von Python gestartete Prozesse überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-g6j7-pffp-8whg github.com
• OSV: CVE-2026-62176 osv.dev
• OpenCVE: CVE-2026-62176 app.opencve.io
• VulDB: 415070 vuldb.com
• HOL Guard: CVE-2026-62176 hol.org
• Safeguard.sh: PraisonAI advisories October 2026 safeguard.sh

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:16.