PrisonAI自定义命令模板任意文件读取漏洞(GHSA-xp9x-x8c2-m9dw)分析

项目自定义命令模板可将工作区外文件读取到模型提示中 漏洞概述 漏洞名称: 项目自定义命令模板可将工作区外文件读取到模型提示中 漏洞编号: GHSA-xp9x-x8c2-m9dw 漏洞类型: CWE-22: 对受限目录的路径名限制不当 严重程度: 中等 (5.5 / 10) CVSS 3.1 向量: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N 受影响版本: = 4.6.78 影响范围 攻击向量: 本地 攻击复杂度: 低 特权要求: 无 用户交互: 必需 范围: 未改变 机密性: 高 完整性: 无 可用性: 无 修复方案 通过单个包含帮助程序解析命令 引用，然后再打开文件： 1. 解析项目根目录或预期的命令工作区。 2. 对于相对引用，将其与根目录连接，然后调用 。 3. 对于绝对引用，要么拒绝它们，要么要求 成功。 4. 在任何 、 或 操作之前拒绝转义文件。 5. 将相同的边界应用于项目和用户命令模板。 6. 添加回归测试，用于 、 、工作区内有效文件、缺失文件和 shell 替换转义。 POC代码 预期漏洞输出 影响 攻击者可以添加或修改项目命令，如 ，包含 或其他进程可读文件。 如果操作员运行项目命令，PrisonAI 会将外部文件扩展到提示中。 在正常用法中，提示可能会被发送到托管模型提供商、记录或显示给低信任调用者。 此报告仅声称机密性影响，不声称代码执行、任意写入、凭证窃取、持久性或网络扫描。 建议的严重性 中等，基于本地未受信任的仓库威胁模型，因为操作员必须运行项目定义的命令。 相关 CWE CWE-22: 对受限目录的路径名限制不当 CWE-200: 向未经授权的行为者暴露敏感信息 建议的修复 通过单个包含帮助程序解析命令 引用，然后再打开文件： 1. 解析项目根目录或预期的命令工作区。 2. 对于相对引用，将其与根目录连接，然后调用 。 3. 对于绝对引用，要么拒绝它们，要么要求 成功。 4. 在任何 、 或 操作之前拒绝转义文件。 5. 将相同的边界应用于项目和用户命令模板。 6. 添加回归测试，用于 、 、工作区内有效文件、缺失文件和 shell 替换转义。 最小形状 受影响包/版本 该功能通过提交 引入。当前发布标签现在包含该提交，PyPI 目前发布 通过 。 引入提交: 最早受影响的版本观察到: 最新受影响版本观察到: 最新 PyPI 版本检查: 未受影响样本标签: 修复版本: 尚未确定 受影响包条目 生态系统: 包: 易受攻击版本: 修复版本: 尚未确定 建议历史 未检查 PrisonAI 私有建议匹配 、 或自定义命令模板 插值。 最接近的比较器是 ，任意文件读取通过 ：提及路径遍历。此报告不同，因为它是由项目级自定义命令模板触发的，发现于 ，而不是直接 ：提及路径。易受攻击的代码路径是 在 中，通过 引入，以及 中的 。 其他检查的 PrisonAI 建议涵盖平台授权钩子、AgentML 未签名 webhook、本地主机 Host-header 伪造、ContextAwareRetrievalContext 路径转义、API 部署 YAML 到 Python 注入、MCP 和配方策略绕过、动态上下文路径转义和文件路径转义。没有涵盖此自定义命令模板插值路径。 参考 PrisonAI 仓库: https://github.com/MervinPrison/PrisonAI 引入提交: - 当前测试提交: - 比较器建议 : PrisonAI 安全策略页面: https://github.com/MervinPrison/PrisonAI/blob/main/SECURITY.md CWE-22: https://cwe.mitre.org/data/definitions/22.html CWE-200: https://cwe.mitre.org/data/definitions/200.html

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

PrisonAI自定义命令模板任意文件读取漏洞(GHSA-xp9x-x8c2-m9dw)分析

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

PrisonAI自定义命令模板任意文件读取漏洞(GHSA-xp9x-x8c2-m9dw)分析

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！