何が起きたか
PraisonAI 4.6.59–4.6.61 で修正された大規模な同時セキュリティ勧告の波は、複数の高/中 CVSS 7.2–8.8 の欠陥に対応しました: Discord および HTTP 承認フローでの人間の承認バイパス、許可リストポリシーをスキップする Slack app_mention ハンドラー、0.0.0.0 リスナー上の任意の LinearBot ウェブフックシークレット、カーネルサンドボックスを弱める SandlockSandbox native() パス、コンピューターブリッジングファイル操作でのシェルコマンドインジェクション、テンプレートローダー/キャッシュのパストラバーサル、危険なツールポリシーバイパス、ファイルシステムバックアップの Dynamic Context ツールが任意の run_id/agent_id/artifact パスを尊重する問題、認証されていない A2U イベントストリーミング、ウェブフック検証のバインディングギャップ。
なぜ重要か
これらはマルチエージェントデプロイメントのオーケストレーション層の障害モードです。人間の承認は偽装または注入され得、ボットウェブフックは誰でもアクセスでき、サンドボックスは撤回され得、攻撃者が操作する引数はファイルシステムを横断したりシェルコマンドを実行したりできます。これらは、エージェント承認 UX とポリシー適用が境界制御であり、ハードニングとして信頼すべきでないことを示しています。
攻撃経路
集約: (a) DiscordApproval は、チャンネル内の後続の非ボットメッセージが「はい」と分類されると、保留中の危険なツール呼び出しを承認します（CVE-2026-56832）; (b) HTTPApproval は攻撃者が制御するツール引数を承認ダッシュボードの HTML に直接レンダリングし、人間が開く承認ページへの JavaScript インジェクションを引き起こします（CVE-2026-56840）; (c) Slack ボットはメッセージハンドラーで allowed_users/allowed_channels ポリシーを適用しますが、隣接する app_mention ハンドラーでは適用しません（CVE-2026-56835）; (d) LinearBot は 0.0.0.0 上で公開ウェブフックリスナーを開始し、LINEAR_WEBHOOK_SECRET を任意とみなすため、署名検証がスキップされます（CVE-2026-56837）; (e) SandlockSandbox native() パスにより、呼び出し元が許可されたファイルシステム/ネットワークパスを構成でき、カーネル強制サンドボックスを破壊します（CVE-2026-57144）; (f) LocalManagedAgent/SandboxedAgent のコンピューターブリッジングは、read_file/list_files/write_file を生のフォーマットでシェルコマンド文字列に変換し、コマンドインジェクションを引き起こします（CVE-2026-57117）; (g) テンプレートローダーはユーザー制御の GitHub テンプレートパス/ref をそのまま保存し、キャッシュ層がそれをパスに結合するため、パストラバーサルが発生します（CVE-2026-57113）; (h) レシピ実行の危険なツールポリシーは TEMPLATE で宣言されたツールのみをチェックし、バイパス可能です（CVE-2026-56838 / 57142）; (i) Dynamic Context ツールはツール呼び出し元から run_id/agent_id を受け取り、ファイルシステムパスを構築します（CVE-2026-56833 / 56834）; (j) A2U イベントストリームとサブスクリプションルートは認証されていません（CVE-2026-57146）; (k) Async Jobs のループバック/プライベートターゲットのウェブフック検証はリクエストにバインドされていません（CVE-2026-57114）; (l) ワークスペースメンバーはオーナーや他のメンバーが作成したリソースを完全に削除できます（CVE-2026-57121）; (m) インストールされたコンソールレシピコマンドは、非推奨の Typer パスにディスパッチされます（CVE-2026-56836）。
影響を受けるシステム
PraisonAI (MervinPraison) 3.8.1–4.5.x から 4.6.59/4.6.61 未満; praisonai-platform (workplace) 0.1.4 から 0.1.5 未満
緩和策
PraisonAI を 4.6.59–4.6.61（および praisonai-platform を 0.1.5）にアップグレードしてください。各問題について、それぞれの GHSA（GHSA-8579-rgg5-ph2m, GHSA-63v4-w882-g4x2, GHSA-qvpf-j64c-jmhr, GHSA-fc26-m9pf-v56q, GHSA-6jcq-6546-qrrw, GHSA-w6h2-fr4q-xvxv, GHSA-f44v-7qgw-9gh9, GHSA-v847-hxxw-3pxg, GHSA-7qw2-w5rc-37x2, GHSA-22cj-m4wf-fv2c, GHSA-j7qx-p75m-wp7g, GHSA-jxcw-qp4h-6jfq, GHSA-rjvw-7vvw-549v, GHSA-rh39-9c67-59mh, GHSA-5qw8-f2g9-ff29）を参照してください。ボット/ウェブフック/サンドボックスサーフェスを認証なしで公開しないでください。明示的な allow_dangerous_tools とウェブフックシークレットを要求してください。