CVE-2026-30887

OneUptime onlayn xidmətlərin monitorinqi və idarə edilməsi üçün nəzərdə tutulmuş həll yoludur. 10.0.18 versiyasından əvvəl OneUptime layihə üzvlərinə veb saytları sınaqdan keçirmək üçün Synthetic Monitors vasitəsilə xüsusi Playwright/JavaScript kodlarını işlətməyə icazə verir. Lakin sistem bu etibarsız istifadəçi kodunu təhlükəsiz olmayan Node.js vm modulu daxilində icra edir. Standart prototip zənciri qaçışından (this.constructor.constructor) istifadə edərək hücumçu qum qutusundan (sandbox) yan keçə, altda yerləşən Node.js proses obyektinə giriş əldə edə və oneuptime-probe konteynerində ixtiyari sistem əmrlərini icra edə bilər (RCE). Bundan əlavə, prob mühit dəyişənlərində verilənlər bazası/klaster etibarnamələrini saxladığı üçün bu, birbaşa olaraq bütün klasterin kompromisə uğramasına səbəb olur. Bu boşluq 10.0.18 versiyasında aradan qaldırılmışdır.