CVE-2026-45227 in heym
要約
〜によって VulDB • 2026年05月13日
Heym 0.0.21 以前には、カスタム Python ツール実行エンジンにおけるサンドボックスエスケープの脆弱性が存在します。これにより、認証済みワークフロー作成者はオブジェクトグラフのイントロスペクションプリミティブを使用することで、サンドボックスの制限を回避できます。攻撃者は Python のイントロスペクション技術を用いて、制限のない __import__ 関数を取得し、os や subprocess などのブロックされたモジュールをインポートして、データベース認証情報や暗号化キーを含む継承されたバックエンド環境変数にアクセスし、バックエンドサービスユーザーとして任意のホストコマンドを実行することができます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.