PraisonAI ast_grep_rewrite Tool Bypasses Approval Gating Allowing Arbitrary File Modification

漏洞概述 漏洞名称: 重写任意文件，绕过 门控（CWE-862） 描述: 目标: PraisonAI (MervinPraison/PraisonAI) 受影响组件: 中的 受影响版本: master 分支（commit 0e978d715621c5d43a3b1a2e198f84899f2fa），复现于 PraisonAIagents PyPI 1.6.52 版本 类别: CWE-862（缺少授权） CVSS v3.1: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H（基础评分 6.1） 严重性: 中等（6.1/10） 摘要: 在 中修改磁盘文件或运行代码的工具通常被 装饰器包裹，该装饰器在运行前通过交互式批准流程路由调用，并在失败时关闭（或没有批准后端配置时引发 ）。 此漏洞适用于每个兄弟突变入口点。 影响范围 受影响文件: - 第 212 行 （高风险） - 第 239 行 （高风险） - 第 266 行 （高风险） - 第 38 行 （高风险） - 第 155 行 （高风险） - 第 32 行 （关键风险） - 第 352 行 （关键风险） 具体漏洞: - 第 148 行 结构上类似于其他工具，但没有装饰器且未从 导入。使用 （LLM 可控），它构建 （行 204-211）并调用 （行 213），修改 下匹配模式的所有文件。没有批准门控、 工作区检查或 沙箱化。该函数作为顶层函数注册（ 第 182 行），并通过 内置配置文件暴露。 次要缺陷: - 在 路径上， 向调用者返回字面字符串 "No changes made"，即使它修改了文件（"No changes made" 返回在 第 238 行达到此路径时），因此操作员检查工具输出不会看到记录的发生。 修复方案 建议修复: - 在 中添加 装饰器。 - 添加 工作区边界检查（如 第 27 行）。 - 修复 "No changes made" 返回以反映实际修改；应用装饰器到 （ 第 243 行）以写入 只读模式并防止未装饰的递归下降。 POC 代码 威胁模型 本地运行的 LLM 代理，其工具表面包括 （通过 配置文件或直接导入）。 触发条件: 操作员要求代理重构代码，或在已分发的文档/RAG 内容/任何 LLM 可见输入中注入提示，诱使代理调用 并使用攻击者选择的模式、替换和路径（ 标志在 LLM 可见工具模式中是可请求的）。代理可以重写任何主机进程可写的文件——源代码树、构建配置、定义，代理的自身源。使用 的替换是递归的。由于替换文本是任意文本，指向一个稍后导入或执行的文件的指针会将此写入原语转换为代码执行——这是 CVSS 行中注意的基于提示的升级。 协调披露 通过 GitHub Security Advisory 私下交付；未公开 CVE 文件，无公开帖子，无非私有供应商联系。 Kai Aizen / SnailSplit — kai@snailsplit.com — PGP on request.

目標達成すべての支援者に感謝 — 100%達成しました！

PraisonAI ast_grep_rewrite Tool Bypasses Approval Gating Allowing Arbitrary File Modification

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

PraisonAI ast_grep_rewrite Tool Bypasses Approval Gating Allowing Arbitrary File Modification

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！