cveboard Feed RSS

CVE-2026-62176

GitHubCrítica, pip

PraisonAI: Injeção de código via interpolação de f-string na geração do servidor da API de deploy

Traduzido automaticamente do inglês.

O módulo deploy/api.py gera código de servidor Python interpolando diretamente o parâmetro agents_file em uma f-string que é então escrita em um arquivo e executada via subprocess.Popen(). Um atacante que controla o valor de agents_file (via argumento CLI, configuração ou API upstream) pode injetar código Python arbitrário.

Sem exploração conhecida
Gravidade
Crítica, CVSS 9.1 (v3.1)
EPSS
0,46% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
Pacotes afetados