目標達成 すべての支援者に感謝 — 100%達成しました！

目標: 1000 CNY · 調達済み: 1336 CNY

100%
コーヒーを一杯おごる

CVE-2026-61439— Mervin Praison PraisonAI 配置错误漏洞

CVSS 7.5 · High EPSS 0.26% · P18

Possible ATT&CK Techniques 1AI

T1190 · Exploit Public-Facing Application

Affected Version Matrix 2

ベンダープロダクトVersion Rangeステータス
MervinPraisonPraisonAI< 4.6.78affected
4.6.78unaffected
新しい脆弱性情報の通知を購読するログインして購読

I. CVE-2026-61439の基本情報

脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗

高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。

脆弱性タイトル
PraisonAI before 4.6.78 Prompt Injection Defense Bypass
ソース: CVE Program / CVE List V5
脆弱性説明
PraisonAI versions before 4.6.78 contain a prompt injection defense misconfiguration where the block threshold defaults to CRITICAL severity, allowing HIGH-level threats to pass through unblocked. Attackers can submit single-vector prompt injection attacks such as instruction overrides or financial manipulation that trigger HIGH severity detection but are logged without blocking, enabling system prompt extraction and unauthorized tool invocations.
ソース: CVE Program / CVE List V5
CVSS情報
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
ソース: CVE Program / CVE List V5
脆弱性タイプ
不安全的默认资源初始化
ソース: CVE Program / CVE List V5
脆弱性タイトル
Mervin Praison PraisonAI 配置错误漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
Mervin Praison PraisonAI是Mervin Praison个人开发者开源的一个低代码多智能体协作框架。 Mervin Praison PraisonAI 4.6.78之前版本存在配置错误漏洞，该漏洞源于提示注入防御配置错误，阻塞阈值默认为CRITICAL严重级别，允许HIGH级别威胁通过未阻塞，攻击者可提交单向量提示注入攻击从而触发HIGH严重级别检测，但仅被记录而未被阻塞，导致系统提示提取和未授权的工具调用。
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)

影響を受ける製品

ベンダープロダクト影響を受けるバージョンCPE購読
MervinPraisonPraisonAI 0 ~ 4.6.78 -

II. CVE-2026-61439の公開POC

#POC説明ソースリンクShenlongリンク
AI生成POCプレミアム
Qwen3.6-35B-A3B · 3861 文字数
Pro+限定の内容：
脆弱性再現の録画（実際のサンドボックス構築 + トリガー、限定）
脆弱性の原理を深く分析
トリガー条件と影響範囲
完全な実行可能POCコード
攻撃チェーンと緩和策の提案
POCパッケージのダウンロード
月間100件以上のAI生成枠

III. CVE-2026-61439のインテリジェンス情報

请登录查看更多情报信息。

CVE-2026-61439 厂商安全公告 (2)

Same Patch Batch · MervinPraison · 2026-07-11 · 9 CVEs total

CVE-2026-6144710.0 CRITICALPraisonAI before 1.6.78 Remote Code Execution via CodeAgent
CVE-2026-614459.9 CRITICALPraisonAI before 4.6.78 Arbitrary File Write and Command Execution
CVE-2026-600909.8 CRITICALPraisonAI before 4.6.78 SQL/CQL Injection via vector dimension
CVE-2026-614268.6 HIGHPraisonAI before 1.7.3 Unauthenticated Agent Access via Insecure Defaults
CVE-2026-614298.5 HIGHPraisonAI before 1.6.78 SSRF via Crawl4AI Chromium backend
CVE-2026-614287.3 HIGHPraisonAI AgentMail before 4.6.78 Message Injection via Webhook
CVE-2026-614427.1 HIGHPraisonAI Platform before 0.1.9 Authorization Bypass via PATCH
CVE-2026-600885.5 MEDIUMPraisonAI before 4.6.78 Path Traversal via Custom Commands

IV. 関連脆弱性

同じ製品: PraisonAI
同じベンダー: MervinPraison
同じ弱点: CWE-1188

V. CVE-2026-61439へのコメント

まだコメントはありません

コメントを残す