PraisonAI FastContext before 1.6.78 Path Traversal 漏洞概述 PraisonAI (prisonaiagents) 在 1.6.78 版本之前存在路径遍历漏洞。FastContextAgent 的 方法在预配置的工作区路径前添加相对路径，但未拒绝绝对路径或未规范化连接路径以强制执行工作区隔离。因此，工具参数或模型生成的函数调用（如 、 、 或 ）可以使用绝对路径或 遍历序列来读取、搜索和枚举工作区目录之外的文件，将文件内容返回给调用者或注入到模型的工具结果上下文中。 影响范围 PraisonAI >= 0, < 1.6.78 修复方案 升级到 PraisonAI 1.6.78 或更高版本。 参考链接 GitHub Security Advisory GitHub Commit 其他信息 严重性: 中等 发布日期: 2026年7月10日 CVE: CVE-2026-61432 CWE: CWE-22 路径名到受限目录的不当限制（路径遍历） CVSS: 6.9 CVSS V4 Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N