CVE-2026-73084
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Activepieces to platforma automatyzacji przepływów pracy AI typu open source. Przed wersją 0.83.0 punkt końcowy /api/redirect OAuth osadza parametr code dostarczony przez użytkownika bezpośrednio w bloku skryptu inline bez odpowiedniego escapowania. Złośliwe żądanie do /api/redirect z wartością code może wyrwać się z kontekstu skryptu i wykonać dowolny JavaScript w origin Activepieces, gdy otworzy je zalogowany użytkownik. Nieuwierzytelniony atakujący może uzyskać dostęp do tokenów sesji ofiary lub wykonywać uwierzytelnione wywołania API w jej imieniu. Problem naprawiono w wersji 0.83.0.
Ocena ryzyka
Atakujący może przejąć sesję zalogowanego użytkownika, co może prowadzić do kradzieży danych lub nieautoryzowanych działań w imieniu ofiary.
Rekomendacja
Zaktualizuj Activepieces do wersji 0.83.0 lub nowszej, która zawiera poprawkę.
Inne podatności w Activepieces
Zobacz wszystkie- CVE-2026-48499Krytyczne
W platformie Activepieces przed wersją 0.84.0, niesanitowany segment ścieżki w piaskownicy Code piece pozwala uwierzytelnionemu autorowi przepływu na odczyt i zapis plików przepływu i kodu należących do innych dzierżawców na tym samym workerze. Może to ujawnić osadzone dane i umożliwić wykonanie zmodyfikowanego kodu w kontekście ofiary.
- CVE-2026-73083Wysokie
Activepieces przed wersją 0.80.0 w trybie SANDBOX_CODE_ONLY ładuje moduł użytkownika przed zastosowaniem izolacji V8, co pozwala na dostęp do API Node.js poza sandboxem. Uwierzytelniony użytkownik może odczytać sekrety środowiskowe, pliki i uzyskać dostęp do wewnętrznych usług.
- CVE-2026-73082Średnie
Activepieces to platforma automatyzacji przepływów pracy AI typu open source. Przed wersją 0.82.0 punkt końcowy POST /api/v1/projects/:projectId/mcp-server/validate-agent-mcp-tool wykonuje wychodzące żądanie HTTP lub SSE do adresu serverUrl dostarczonego przez użytkownika bez walidacji URL lub ochrony SSRF. Uwierzytelniony użytkownik może spowodować, że serwer Activepieces połączy się z wewnętrznymi usługami, punktami końcowymi metadanych chmury lub dowolnymi zewnętrznymi hostami i badać dostępność sieci z hosta Activepieces. Problem naprawiono w wersji 0.82.0.
- CVE-2026-73081Wysokie
Activepieces przed wersją 0.80.0 ma podatność w potoku kompilacji kodu, gdzie nazwa kroku może zawierać metaznaki powłoki, co pozwala na wykonanie dowolnych poleceń podczas kompilacji. Uwierzytelniony użytkownik może wykonać polecenia jako proces roboczy.
- CVE-2026-53536Średnie
W Activepieces przed wersją 0.83.0 punkt końcowy /v1/step-files/signed nie sprawdzał publiczności tokena JWT oraz brakowało walidacji wartości null dla decoded fileId. Umożliwiło to uwierzytelnionemu użytkownikowi pobranie plików krok-po-kroku należących do innych dzierżawców na tej samej instancji.
- CVE-2026-53535Średnie
W Activepieces przed wersją 0.82.0 funkcja git-sync umożliwiała ucieczkę z katalogu roboczego i zapis plików w dowolnych ścieżkach systemu plików. Podatność wynikała z braku wyłączenia obsługi dowiązań symbolicznych Git oraz braku walidacji identyfikatorów używanych do budowania ścieżek (slug repozytorium, externalId tabel, przepływów i połączeń) przed sekwencjami typu ../.
Oryginalny opis (angielski, źródło NVD)
Activepieces is an open source AI workflow automation platform. Prior to 0.83.0, the /api/redirect OAuth callback endpoint embeds the user-supplied code query parameter directly into an inline script block without proper escaping. A crafted request to /api/redirect with a malicious code value can break out of the script context and execute arbitrary JavaScript in the Activepieces origin when a logged-in user opens it. An unauthenticated attacker can access the victim's session tokens or make authenticated API calls on the victim's behalf. This issue is fixed in version 0.83.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS