在 PrefectHQ 的生成式 UI 框架 Prefab UI 中发现了一个严重漏洞,CVE-2026-120338,CVSS 评分为 10.0。此漏洞存在于 0.14.0 至 0.20.2 版本中,攻击者可以通过利用 Python 沙盒环境来读取和写入主机服务器上的文件。虽然 Prefab UI 0.21.0 和 0.21.1 版本已发布并修复了此问题,但建议运行启用了生成式 UI 的 FastMCP 用户立即更新。该漏洞源于 Deno 子进程被授予了不受限制的文件系统访问权限,以及 Deno API 通过 Pyodide 的 JavaScript 全局对象暴露,从而有效地绕过了预期的隔离。 AI
影响 此漏洞凸显了在 AI 驱动的沙盒中运行不受信任的代码所带来的安全风险,可能影响生成式 UI 工具的采用。
排序理由 披露了影响特定软件产品的 CVE。
- CVE-2026-120338
- Deno
- FastMCP
- GitHub
- JFrog Security Research
- Prefab UI
- PrefectHQ
- Pyodide
- Python
- WebAssembly
AI 生成摘要 · Google Gemini · 来自 1 个来源。 我们如何撰写摘要 →