CVE-2026-39888

Ucieczka z sandbox w PraisonAI — pełne RCE przez frame traversal

CVSS 9.9v3.1pub. 2026-04-08upd. 2026-04-15

Podatność w module `python_tools` systemu PraisonAI pozwala uwierzytelnionemu użytkownikowi na ucieczkę z ograniczonego środowiska sandbox i wykonanie dowolnego kodu z poziomem uprawnień procesu hosta. Luka otrzymała ocenę CVSS 9.9, co czyni ją podatnością krytyczną.

▸ Pokaż oryginał (EN)

PraisonAI is a multi-agent teams system. Prior to 1.5.115, execute_code() in praisonaiagents.tools.python_tools defaults to sandbox_mode="sandbox", which runs user code in a subprocess wrapped with a restricted __builtins__ dict and an AST-based blocklist. The AST blocklist embedded inside the subprocess wrapper (blocked_attrs of python_tools.py) contains only 11 attribute names — a strict subset of the 30+ names blocked in the direct-execution path. The four attributes that form a frame-traversal chain out of the sandbox are all absent from the subprocess list (__traceback__, tb_frame, f_back, and f_builtins). Chaining these attributes through a caught exception exposes the real Python builtins dict of the subprocess wrapper frame, from which exec can be retrieved and called under a non-blocked variable name — bypassing every remaining security layer. This vulnerability is fixed in 1.5.115.

🤖 Analiza AI

Jak działa

Funkcja `execute_code()` w `praisonaiagents.tools.python_tools` uruchamia kod użytkownika w podprocesie z ograniczonym słownikiem `__builtins__` oraz blokadą opartą na analizie AST. Lista zablokowanych atrybutów w tym podprocesie zawiera jedynie 11 nazw — znacznie mniej niż 30+ blokowanych w ścieżce bezpośredniego wykonania. Cztery atrybuty kluczowe dla łańcucha przechodzenia przez ramki stosu (`__traceback__`, `tb_frame`, `f_back`, `f_builtins`) są całkowicie nieobecne na liście blokad podprocesu. Atakujący może je połączyć przez obsługę wyjątku, uzyskując dostęp do rzeczywistego słownika `builtins` ramki wrappera, a następnie pobrać i wywołać `exec` pod niezablokowaną nazwą zmiennej — omijając wszystkie pozostałe warstwy zabezpieczeń.

Skutki

Atakujący z podstawowym dostępem (niskie uprawnienia) może wykonać dowolny kod w kontekście procesu hosta, uzyskując pełną kontrolę nad poufnością, integralnością i dostępnością systemu, w tym możliwość lateral movement w środowiskach wielodostępnych.

Mitygacja

Należy zaktualizować PraisonAI do wersji 1.5.115 lub nowszej, w której podatność została naprawiona. Zgodnie z referencjami producenta poprawka jest dostępna w oficjalnym repozytorium GitHub projektu.

Kogo dotyczy

PraisonAI (Praison Praisonai) w wersjach wcześniejszych niż 1.5.115

Uwagi

Podatność zgłoszona i naprawiona w ramach GitHub Security Advisory GHSA-qf73-2hrx-xprp. Wektor CVSS wskazuje na brak wymogu interakcji użytkownika oraz zmianę zakresu (Scope:Changed), co oznacza potencjalny wpływ na zasoby poza bezpośrednio podatnym komponentem.