🔴 《严重安全漏洞：CVE-2026-61445》

CVSS 评分: 严重（9.4）　　状态: Received　　发布时间: 2026-07-11

漏洞简介

CVE-2026-61445 是一个影响 PraisonAI 的安全漏洞，涉及任意文件写入（arbitrary file write）和命令执行（command execution）问题。该漏洞存在于 PraisonAI 的 AICoder 组件中，根本原因在于对 LLM（大语言模型）工具调用时缺乏路径验证（path validation）和命令清理（command sanitization）。攻击者可以通过聊天界面（chat interface）注入恶意提示（malicious prompts），从而将文件写入文件系统的任意位置，并执行任意 shell 命令，且这些操作以 root 权限运行。

该漏洞对应 CWE-22（路径遍历，Path Traversal）分类，攻击者利用路径遍历绕过限制，实现越权文件操作和命令执行。

影响范围

  • 受影响软件：PraisonAI 版本低于 4.6.78（before 4.6.78）
  • 修复版本：PraisonAI 4.6.78 及更高版本

风险分析

根据 CVSS 4.0 评分向量（CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H），该漏洞具有以下风险特征：

  • 攻击向量（Attack Vector）：网络（Network），攻击者无需物理接触目标系统，可通过远程网络发起攻击。
  • 攻击复杂度（Attack Complexity）：低（Low），利用条件简单，无需特殊技巧。
  • 所需权限（Privileges Required）：低（Low），攻击者仅需具备普通用户权限（如通过聊天界面交互的权限）即可触发漏洞。
  • 用户交互（User Interaction）：无（None），攻击过程无需受害者主动操作。
  • 机密性影响（Confidentiality Impact）：高（High），攻击者可读取任意文件，包括敏感配置、密钥或用户数据。
  • 完整性影响（Integrity Impact）：高（High），攻击者可写入恶意文件（如后门脚本、配置文件），破坏系统完整性。
  • 可用性影响（Availability Impact）：高（High），攻击者可能通过执行破坏性命令导致服务中断或系统崩溃。
  • 安全影响范围（Scope）：机密性、完整性、可用性均受影响，且影响范围可能扩展至相邻系统（如容器逃逸或横向移动）。

攻击后果：

  1. 任意文件写入：攻击者可利用路径遍历（path traversal）将恶意文件（如 Web Shell、恶意脚本）写入系统任意目录（如 /etc/cron.d/、/root/.ssh/），实现持久化控制或提权。
  2. 任意命令执行：攻击者可以 root 权限执行任意 shell 命令，包括安装恶意软件、窃取数据、修改系统配置、创建后门账户等，完全控制受影响主机。
  3. 横向移动风险：由于漏洞以 root 权限运行，攻击者可能利用被控主机作为跳板，进一步攻击内网其他系统。

总结：该漏洞属于高危漏洞，攻击者只需通过聊天界面发送精心构造的提示即可完全控制 PraisonAI 服务所在的主机，建议立即升级至 4.6.78 或更高版本，并限制对聊天界面的网络访问。

🔍 技术细节

字段 值
CVE ID CVE-2026-61445
CVSS 评分 9.4 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-22
发布时间 2026-07-11
最后更新 2026-07-11
状态 Received
数据来源 disclosure@vulncheck.com

🔗 参考链接