CVE-2026-48499
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W platformie Activepieces przed wersją 0.84.0, niesanitowany segment ścieżki w piaskownicy Code piece pozwala uwierzytelnionemu autorowi przepływu na odczyt i zapis plików przepływu i kodu należących do innych dzierżawców na tym samym workerze. Może to ujawnić osadzone dane i umożliwić wykonanie zmodyfikowanego kodu w kontekście ofiary.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych danych innych dzierżawców oraz wykonać złośliwy kod w ich kontekście, co prowadzi do naruszenia izolacji dzierżawców.
Rekomendacja
Zaktualizuj Activepieces do wersji 0.84.0 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Activepieces is an open source AI workflow automation platform. Prior to 0.84.0, an unsanitized path segment in the Code piece sandbox can let an authenticated flow author reach read-write cached flow and code files belonging to other tenants on the same worker, exposing embedded data and allowing modified code to execute on a victim tenant's next flow run. This issue is fixed in version 0.84.0.