CVE-2026-73083 in Activepieces
Resumen
por VulDB • 2026-08-11
Activepieces es una plataforma de automatización de flujos de trabajo con IA de código abierto. Antes de la versión 0.80.0, en el modo SANDBOX_CODE_ONLY, el motor carga el módulo del usuario compilado mediante importFresh(), un envoltorio alrededor de require() de Node.js, antes de que se aplique el aislador V8 (V8 isolate). Por lo tanto, el código del módulo a nivel superior puede llamar a require('child_process'), acceder al sistema de archivos (fs) y utilizar otras API de Node.js en el proceso del motor host fuera del entorno sandbox. Un usuario autenticado que pueda crear un paso de tipo Code puede leer secretos del entorno, incluyendo AP_ENCRYPTION_KEY y AP_JWT_SECRET, leer o escribir archivos y alcanzar servicios internos. Este problema se corrige en la versión 0.80.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.