Apa yang terjadi
SSRF alat pencarian default PraisonAI berasal dari meneruskan searxng_url yang dikendalikan LLM ke requests.get tanpa validasi skema/host/port/alamat-resolved. Penyerang yang dapat memasukkan teks berbahaya ke dalam konteks model (melalui injeksi prompt) dapat mengarahkan pencarian agen ke host internal dan layanan metadata cloud, dengan respons yang langsung dimasukkan kembali ke konteks agen untuk tindakan lebih lanjut.
Mengapa penting
Ini mengubah pijakan injeksi prompt menjadi primitif pengintaian jaringan dan eksposur metadata terhadap host yang menjalankan agen: probing layanan internal, pembacaan SSRF, dan eksposur kredensial IAM cloud melalui endpoint metadata — semuanya dari input LLM yang tidak divalidasi.
Vektor serangan
searxng_search dan search_web meneruskan parameter searxng_url yang dikendalikan LLM langsung ke requests.get tanpa memvalidasi skema, host, port, atau alamat resolved. Konten yang disuntikkan prompt mengarahkan alat pencarian ke layanan JSON internal, memeriksa port internal terbuka vs tertutup, dan mencoba permintaan metadata cloud; JSON yang dikembalikan masuk ke konteks agen.
Sistem yang terdampak
PraisonAI praisonaiagents < 1.6.62 (alat searxng_search dan penyedia search_web SearxNG)
Mitigasi
Tingkatkan ke praisonaiagents 1.6.62 (commit 2a855c470077c7d2e2479a575f7ef7f548d51c33; GHSA-4pcv-mg8v-vrgf). Validasi/resolve skema, host, dan alamat searxng_url sebelum mengeluarkan permintaan.