CVE-2026-33396
Təsvir
OneUptime açıq mənbəli monitorinq və müşahidə platformasıdır. Versiya 10.0.35-dən əvvəl, aşağı imtiyazlı autentifikasiya olunmuş istifadəçi (ProjectMember), Synthetic Monitor Playwright skriptinin icrasından sui-istifadə edərək Probe konteynerində/hostunda uzaqdan kodun icrasını həyata keçirə bilər. Synthetic monitor kodu, kontekstdə canlı Playwright səhifə obyekti ilə VMRunner.runCodeInNodeVM daxilində icra edilir. Sandbox bloklanmış xüsusiyyətlər/metodların qara siyahısından asılıdır, lakin bu siyahı natamamdır. Xüsusilə, _browserType və launchServer bloklanmayıb, buna görə də hücumçunun kodu `page.context().browser()._browserType.launchServer(...)` vasitəsilə keçid edərək ixtiyari proseslər yarada bilər. Versiya 10.0.35-də düzəliş tətbiq edilmişdir.
Necə düzəltmək olar
- hackerbay oneuptime10.0.35 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| hackerbay oneuptime | v < 10.0.35 | 10.0.35 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.