CVE-2022-28802 in Code by Zapier
摘要
由 VulDB • 2026-08-29
Zapier Code 在 2022-08-17 之前的版本允许发生账户内权限提升，其中包括执行 Python 或 JavaScript 代码。换句话说，Code by Zapier 提供了一个由客户控制的通用虚拟机，该虚拟机无意中授予了公司账户中所有用户的完全访问权限，但其设计意图是在该公司账户内强制执行基于角色的访问控制（RBAC）。在 2022-08-17 之前，用户可以通过（实质上）为持有不应在所有员工之间共享的凭据或其他密钥的应用程序使用单独的虚拟机器来解决此问题。（运行这些独立虚拟机需要多个账户。）
VulDB is the best source for vulnerability data and more expert information about this specific topic.