CVE-2026-61445: Kritisk fejl i PraisonAI AICoder
Kritisk sårbarhed i PraisonAI (CVE-2026-61445) lader angribere skrive filer og køre kommandoer som root via chatbeskeder. Opdatér til 4.6.78.
Hvad er det?
PraisonAI er et framework, som virksomheder bruger til at bygge AI-agenter, der kan udføre opgaver automatisk, for eksempel gennem en chatgrænseflade. Fejlen (CVE-2026-61445) findes i komponenten AICoder, som mangler kontrol af filstier og kommandoer, når den udfører instrukser fra en sprogmodel (LLM). Det gør det muligt at lave et såkaldt path traversal angreb, hvor man via stinavne som ../../ kan komme uden for den tilsigtede mappe. En angriber kan formulere en besked i chatten, der narrer systemet til at skrive filer på et vilkårligt sted på serveren og køre skalkommandoer med de højeste rettigheder, root.
Hvem rammer det?
Det rammer virksomheder og kommuner, der har sat PraisonAI op til at automatisere opgaver med AI-agenter, og hvor komponenten AICoder er aktiv, for eksempel til kodegenerering eller filhåndtering. Alle versioner før 4.6.78 er sårbare. Det gælder både interne installationer og løsninger, hvor chatgrænsefladen er eksponeret til kunder, medarbejdere eller eksterne samarbejdspartnere.
Hvad kan ske?
En angriber, der har adgang til chatgrænsefladen, kan i praksis overtage serveren. Filer kan skrives eller overskrives hvor som helst i filsystemet, og kommandoer kan køres med root-rettigheder, hvilket giver fuld kontrol over systemet. For en dansk virksomhed betyder det risiko for datatab, installation af skadelig kode, aflæsning af følsomme data og brug af serveren som springbræt til resten af netværket.
Hvor alvorligt er det?
CVSS-score er 9,9 ud af 10, hvilket er kritisk. Angrebet kan udføres over netværket uden kompleksitet, og det kræver ikke handling fra en bruger, kun at angriberen kan sende beskeder til chatgrænsefladen. Der kræves lav adgang i forvejen (PR:L), for eksempel en almindelig brugerkonto til systemet, men konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed. Der er ikke oplysninger om, at fejlen aktivt udnyttes, men et offentligt kendt angrebsmønster gør det til et attraktivt mål.
Hvad gør jeg nu?
Følgende handlinger bør prioriteres i denne rækkefølge:
- Opdatér PraisonAI til version 4.6.78 eller nyere, hvor fejlen er rettet.
- Gennemgå logs for AICoder-komponenten for mistænkelige filoperationer eller kommandoer uden for normale mønstre.
- Begræns adgang til chatgrænsefladen, så kun betroede brugere kan sende beskeder til AI-agenten, indtil opdateringen er gennemført.
- Kør AICoder med de laveste nødvendige rettigheder og undgå at køre komponenten som root fremadrettet.
- Kontakt jeres it-leverandør eller en sikkerhedsrådgiver, hvis I ikke selv kan verificere version eller gennemføre opdateringen sikkert.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer PraisonAI til version 4.6.78 så hurtigt som muligt, da sårbarheden giver fuld kontrol over serveren med relativt lille indsats fra en angriber. Det er ikke forsvarligt at vente til en planlagt opdateringsrunde, når AICoder-komponenten er tilgængelig fra en chatgrænseflade. I kan vente kortvarigt, hvis I i mellemtiden lukker ekstern adgang til komponenten helt.
Tidslinje
Konkrete eksempler
AI-drevet kundeservice udnyttet til serverovertagelse
En dansk mellemstor virksomhed bruger PraisonAI til at automatisere en del af kundeservicen via en chatbot med adgang til AICoder-komponenten. En ekstern bruger sender en formuleret besked, der narrer systemet til at skrive en skadelig fil og køre en kommando med root-rettigheder. Angriberen får dermed fuld kontrol over serveren og kan tilgå kundedata samt interne systemer.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den sårbare version?
Tjek versionsnummeret på jeres PraisonAI-installation. Alle versioner før 4.6.78 er sårbare. Versionen kan typisk ses i installationsfiler eller via kommandolinjen, hvor PraisonAI er installeret.
Er vi ramt, hvis vi ikke bruger AICoder-komponenten?
Hvis komponenten AICoder ikke er aktiveret eller installeret, er den konkrete risiko begrænset. Vi anbefaler dog stadig at opdatere, da komponenten kan blive aktiveret senere.
Kan vi vente til weekenden med opdateringen?
Givet CVSS-scoren på 9,9 og at angrebet ikke kræver brugerinteraktion, bør opdateringen ikke udskydes til en planlagt vinduesperiode. Hvis I ikke kan opdatere med det samme, bør adgangen til chatgrænsefladen lukkes i mellemtiden.
Skal vi anmelde det til Datatilsynet?
Kun hvis I konstaterer, at sårbarheden faktisk er udnyttet og at persondata er blevet kompromitteret. Ren tilstedeværelse af den sårbare version udløser ikke i sig selv en anmeldelsespligt.
Hvad koster det at vente med opdateringen?
Da sårbarheden giver mulighed for root-adgang og fuld filsystemskontrol, kan konsekvensen ved et angreb være tab af data, driftsstop og kompromittering af hele serveren. Det gør ventetid til en unødvendig risiko sammenlignet med omkostningen ved en opdatering.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
PraisonAI before 4.6.78 contains arbitrary file write and command execution vulnerabilities in the AICoder component due to missing path validation and command sanitization in LLM tool calls. Attackers can inject malicious prompts through the chat interface to write files to arbitrary filesystem locations and execute arbitrary shell commands with root privileges.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.