CVE-2026-30957
Açıklama
OneUptime, çevrimiçi hizmetlerin izlenmesi ve yönetilmesi için bir çözümdür. 10.0.21 sürümünden önce, OneUptime Synthetic Monitors düşük yetkili kimliği doğrulanmış bir proje kullanıcısının oneuptime-probe sunucusunda/konteynerinde rastgele komutlar yürütmesine izin verir. Temel neden, güvenilmeyen Synthetic Monitor kodunun Node'un vm modülü içinde çalıştırılması ve canlı host-realm Playwright tarayıcı ile sayfa nesnelerinin bu koda açılmış olmasıdır. Kötü niyetli bir kullanıcı, enjekte edilen tarayıcı nesnesi üzerinde Playwright API'lerini çağırabilir ve probun saldırgan tarafından kontrol edilen bir yürütülebilir dosyayı başlatmasına neden olabilir. Bu, sunucu tarafında bir uzaktan kod çalıştırma sorunudur ve ayrı bir vm sandbox kaçışı gerektirmez. Bu güvenlik açığı 10.0.21 sürümünde giderilmiştir.
Nasıl düzeltilir
- hackerbay oneuptime10.0.21 ya da sonraki bir sürüm
- @oneuptime/common10.0.21 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| hackerbay oneuptime | v < 10.0.21 | 10.0.21 |
| @oneuptime/commonnpm | v < 10.0.21 | 10.0.21 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.