事件经过
praktor的bot.go中两个Telegram上传路径通过拼接攻击者控制的文档文件名来构建目标文件路径，无任何遍历清理，允许远程Telegram消息将文件写入任意主机位置。
影响分析
praktor将Telegram面向的、Docker隔离的多代理Claude Code集群置于操作员控制下。从无需认证的消息通道进行任意文件写入是直接通往监督编码代理及其凭证的编排器的路径。
攻击途径
一个Telegram发送者上传一个文件名包含路径遍历段的文档；机器人未经清理将其拼接进目标路径，允许在编排器主机上进行任意文件写入。
受影响系统
praktor 0.9.1之前——internal/telegram/bot.go中的Telegram上传站点将攻击者控制的文档文件名拼接进目标路径而未经清理。
缓解措施
升级到praktor 0.9.1或更高版本（commit c3731ee）；对Telegram上传强制执行文件名清理。