PulseAugur
中
实时 21:41:54
English(EN) Prefab UI's Python Sandbox Could Read and Write Your Server's Files. Upgrade to 0.21

关键的 Prefab UI 漏洞允许通过 Python 沙盒访问文件

在 PrefectHQ 的生成式 UI 框架 Prefab UI 中发现了一个严重漏洞,CVE-2026-120338,CVSS 评分为 10.0。此漏洞存在于 0.14.0 至 0.20.2 版本中,攻击者可以通过利用 Python 沙盒环境来读取和写入主机服务器上的文件。虽然 Prefab UI 0.21.0 和 0.21.1 版本已发布并修复了此问题,但建议运行启用了生成式 UI 的 FastMCP 用户立即更新。该漏洞源于 Deno 子进程被授予了不受限制的文件系统访问权限,以及 Deno API 通过 Pyodide 的 JavaScript 全局对象暴露,从而有效地绕过了预期的隔离。 AI

影响 此漏洞凸显了在 AI 驱动的沙盒中运行不受信任的代码所带来的安全风险,可能影响生成式 UI 工具的采用。

排序理由 披露了影响特定软件产品的 CVE。

在 dev.to — MCP tag 阅读 →

AI 生成摘要 · Google Gemini · 来自 1 个来源。 我们如何撰写摘要 →

关键的 Prefab UI 漏洞允许通过 Python 沙盒访问文件

本文如何被排名

Signal score
0 / 100
Composite score across the factors below. Higher = stronger signal that this story matters right now.
Newsworthiness bucket
Tool
披露了影响特定软件产品的 CVE。
Source corroboration
Single-source cluster
Only one publisher covered this so far. Single-source stories can still rank when the publisher is high-authority, but they lack cross-source corroboration.
Topics
product, safety
Editorial topic classification. Feeds into how the story surfaces on /topic/<slug> hub pages and into the per-entity coverage mix.
AI-industry relevance
High
Clearly on-topic for AI-industry coverage.
Story freshness
1 days old
Coverage has settled into its steady-state source set.

完整方法见我们的编辑标准。

报道来源 [1]

  1. dev.to — MCP tag TIER_1 English(EN) · Gabriel Anhaia ·

    Prefab UI's Python Sandbox Could Read and Write Your Server's Files. Upgrade to 0.21

    <ul> <li> <strong>Book:</strong> <a href="https://www.amazon.com/dp/B0GYMFPTWV" rel="noopener noreferrer">System Design Pocket Guide: Fundamentals</a> </li> <li> <strong>The series:</strong> <em>Pocket Guides for Developers</em> — 8 short books on agents, RAG, prompts, observabil…