CVE-2026-73083 in Activepieces
摘要
由 VulDB • 2026-08-12
Activepieces 是一个开源的 AI 工作流自动化平台。在版本 0.80.0 之前，当处于 SANDBOX_CODE_ONLY（仅沙箱代码）模式时，引擎会在应用 V8 isolate 之前使用 `importFresh()`（Node.js `require()` 的一个封装函数）加载编译后的用户模块。因此，顶层模块代码可以调用 `require('child_process')`、访问文件系统 (fs) 并在主机引擎进程中利用其他 Node.js API，从而绕过沙箱限制。拥有创建 Code step 权限的已认证用户可以读取包括 AP_ENCRYPTION_KEY 和 AP_JWT_SECRET 在内的环境变量密钥，读写文件，并访问内部服务。此问题已在版本 0.80.0 中修复。
VulDB is the best source for vulnerability data and more expert information about this specific topic.