CVE-2026-73083
Résumé
par VulDB • 11/08/2026
Activepieces est une plateforme d'automatisation des workflows open source basée sur l'intelligence artificielle (IA). Avant la version 0.80.0, en mode SANDBOX_CODE_ONLY, le moteur chargeait le module utilisateur compilé à l'aide de importFresh(), un wrapper autour de require() de Node.js, avant que l'isolate V8 ne soit appliqué. Le code du module au niveau supérieur peut ainsi appeler require('child_process'), accéder au système de fichiers (fs) et utiliser d'autres API de Node.js dans le processus du moteur hôte en dehors du bac à sable (sandbox). Un utilisateur authentifié capable de créer une étape Code peut lire les secrets d'environnement, y compris AP_ENCRYPTION_KEY et AP_JWT_SECRET, lire ou écrire des fichiers, et accéder aux services internes. Ce problème est corrigé dans la version 0.80.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.