CVE-2026-30921 in oneuptime
Riassunto
di VulDB • 16/06/2026
OneUptime è una soluzione per il monitoraggio e la gestione dei servizi online. Prima della versione 10.0.20, i OneUptime Synthetic Monitors consentivano agli utenti dei progetti con privilegi ridotti di inviare codice Playwright personalizzato che veniva eseguito sul servizio oneuptime-probe. Nell'implementazione attuale, questo codice non attendibile viene eseguito all'interno del modulo vm di Node e riceve oggetti Playwright host live, come browser e page. Ciò crea una primitiva distinta per l'esecuzione di codice in modalità remota (RCE) lato server: l'attaccante non necessita della classica fuga dalla sandbox tramite this.constructor.constructor(...). Invece, l'attaccante può utilizzare direttamente l'oggetto browser Playwright iniettato per raggiungere browser.browserType().launch(...) ed eseguire un eseguibile arbitrario sull'host/container del probe. Questa vulnerabilità è stata risolta nella versione 10.0.20.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.