CVE-2026-73083
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Activepieces przed wersją 0.80.0 w trybie SANDBOX_CODE_ONLY ładuje moduł użytkownika przed zastosowaniem izolacji V8, co pozwala na dostęp do API Node.js poza sandboxem. Uwierzytelniony użytkownik może odczytać sekrety środowiskowe, pliki i uzyskać dostęp do wewnętrznych usług.
Ocena ryzyka
Ujawnienie sekretów (np. kluczy szyfrowania) i dostęp do wewnętrznych zasobów może prowadzić do pełnej kompromitacji platformy.
Rekomendacja
Zaktualizuj Activepieces do wersji 0.80.0 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Activepieces is an open source AI workflow automation platform. Prior to 0.80.0, in SANDBOX_CODE_ONLY mode, the engine loads the compiled user module with importFresh(), a wrapper around Node.js require(), before the V8 isolate is applied. Top-level module code can therefore call require('child_process'), access fs, and use other Node.js APIs in the host engine process outside the sandbox. An authenticated user who can create a Code step can read environment secrets including AP_ENCRYPTION_KEY and AP_JWT_SECRET, read or write files, and reach internal services. This issue is fixed in version 0.80.0.