CVE-2026-73083
Açıklama
Activepieces, açık kaynaklı bir AI iş akışı otomasyon platformudur. 0.80.0 sürümünden önce, SANDBOX_CODE_ONLY modunda motor, V8 izolatörü uygulanmadan önce derlenmiş kullanıcı modülünü Node.js require() etrafında bir sarmalayıcı olan importFresh() ile yükler. Bu nedenle üst düzey modül kodu require('child_process') çağırabilir, fs'e erişebilir ve korumalı alan dışındaki ana motor sürecinde diğer Node.js API'lerini kullanabilir. Code adımı oluşturabilen kimliği doğrulanmış bir kullanıcı, AP_ENCRYPTION_KEY ve AP_JWT_SECRET dahil olmak üzere ortam sırlarını okuyabilir, dosyaları okuyabilir veya yazabilir ve dahili hizmetlere erişebilir. Bu sorun 0.80.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| activepieces activepieces | < 0.80.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.