事件经过
在PraisonAI 4.6.59–4.6.61中修复的一大批并发公告解决了多个高危/CVSS 7.2–8.8缺陷：Discord和HTTP审批流程中的人为审批绕过、跳过允许列表策略的Slack app_mention处理程序、0.0.0.0监听器上的可选必需LinearBot webhook密钥、SandlockSandbox native()路径削弱内核沙箱、计算桥接文件操作中的shell命令注入、模板加载器/缓存路径遍历、危险工具策略绕过、文件系统支持的动态上下文工具遵循任意run_id/agent_id/artifact路径、未认证的A2U事件流，以及webhook验证绑定缺口。
影响分析
这些是多代理部署的编排层故障模式：人为审批可能被伪造或注入，机器人webhook可被任何人访问，沙箱可被撤销，攻击者引导的参数可遍历文件系统或运行shell命令。它们共同表明代理审批UX和策略强制是边界控制，不应被信任为加固措施。
攻击途径
汇总：（a）DiscordApproval在频道中任何后续非机器人消息被分类为“是”时批准待处理危险工具调用（CVE-2026-56832）；（b）HTTPApproval将攻击者控制的工具参数直接渲染到审批仪表板HTML中→向人工打开的审批页面注入JavaScript（CVE-2026-56840）；（c）Slack机器人在消息处理程序中应用了allowed_users/allowed_channels策略，但在相邻的app_mention处理程序中未应用（CVE-2026-56835）；（d）LinearBot在0.0.0.0上启动公共webhook监听器并将LINEAR_WEBHOOK_SECRET视为可选，因此跳过签名验证（CVE-2026-56837）；（e）SandlockSandbox native()路径允许调用者配置允许的文件系统/网络路径，破坏了内核强制的沙箱（CVE-2026-57144）；（f）LocalManagedAgent/SandboxedAgent计算桥接通过原始格式化将read_file/list_files/write_file转换为shell命令字符串→命令注入（CVE-2026-57117）；（g）模板加载器将用户控制的GitHub模板路径/引用逐字存储，缓存层将其拼接到路径中→路径遍历（CVE-2026-57113）；（h）配方执行危险工具策略仅检查TEMPLATE中声明的工具，且可被绕过（CVE-2026-56838 / 57142）；（i）动态上下文工具从工具调用者接受run_id/agent_id来构建文件系统路径（CVE-2026-56833 / 56834）；（j）A2U事件流和订阅路由保持未认证（CVE-2026-57146）；（k）异步作业webhook对loopback/私有目标的验证未绑定到请求（CVE-2026-57114）；（l）工作区成员可以永久删除所有者或其他成员创建的任何资源（CVE-2026-57121）；（m）已安装控制台配方命令分发到已弃用的Typer路径（CVE-2026-56836）。
受影响系统
PraisonAI (MervinPraison) 3.8.1–4.5.x至4.6.59/4.6.61之前；praisonai-platform (workplace) 0.1.4至0.1.5之前
缓解措施
升级PraisonAI到4.6.59–4.6.61（并将praisonai-platform升级到0.1.5）。每个问题的相应GHSA为（GHSA-8579-rgg5-ph2m, GHSA-63v4-w882-g4x2, GHSA-qvpf-j64c-jmhr, GHSA-fc26-m9pf-v56q, GHSA-6jcq-6546-qrrw, GHSA-w6h2-fr4q-xvxv, GHSA-f44v-7qgw-9gh9, GHSA-v847-hxxw-3pxg, GHSA-7qw2-w5rc-37x2, GHSA-22cj-m4wf-fv2c, GHSA-j7qx-p75m-wp7g, GHSA-jxcw-qp4h-6jfq, GHSA-rjvw-7vvw-549v, GHSA-rh39-9c67-59mh, GHSA-5qw8-f2g9-ff29）。在没有认证的情况下不要暴露机器人/webhook/沙箱表面；要求明确的allow_dangerous_tools和webhook密钥。