CVE-2026-27574 in oneuptime
Riassunto
di VulDB • 25/06/2026
OneUptime è una soluzione per il monitoraggio e la gestione dei servizi online. Nelle versioni 9.5.13 e precedenti, la funzionalità di monitor personalizzato tramite JavaScript utilizza il modulo node:vm di Node.js (esplicitamente documentato come non un meccanismo di sicurezza) per eseguire codice fornito dall'utente, consentendo una semplice fuga dalla sandbox mediante un noto one-liner che concede l'accesso completo al processo sottostante. Poiché il probe viene eseguito con la rete host e detiene tutte le credenziali del cluster (ONEUPTIME_SECRET, DATABASE_PASSWORD, REDIS_PASSWORD, CLICKHOUSE_PASSWORD) nelle sue variabili di ambiente, e la creazione dei monitor è disponibile per il ruolo più basso (ProjectMember) con la registrazione aperta abilitata per impostazione predefinita, qualsiasi utente anonimo può compromettere l'intero cluster in circa 30 secondi. Questo problema è stato risolto nella versione 10.0.5.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.