OneUptime hat einen Sandbox-Ausbruch in der Synthetic Monitor Playwright-Laufzeitumgebung, der es Projektmitgliedern ermöglicht, beliebige Befehle auf dem Probe auszuführen

CVE-2026-33396 in OneUptime ermöglicht einem authentifizierten Benutzer mit geringen Rechten (ProjectMember), Befehle auf dem Probe-Container/Host remote auszuführen, indem die Ausführung von Playwright-Skripten in synthetischen Monitoren missbraucht wird. Der Code des synthetischen Monitors wird in VMRunner.runCodeInNodeVM mit einem aktiven Playwright-Seitenobjekt im Kontext ausgeführt. Das Sandbox basiert auf einer Sperrliste blockierter Eigenschaften/Methoden, diese ist jedoch unvollständig. Insbesondere können _browserType und launch ausgenutzt werden, um beliebigen Code auszuführen.

Organizations utilizing OneUptime for monitoring and observability, particularly those with ProjectMember roles that have the ability to create or modify Synthetic Monitors, are at risk. Shared hosting environments where multiple users share access to the OneUptime instance are also particularly vulnerable, as a compromised ProjectMember account could impact the entire environment.

• nodejs / server:

ps aux | grep 'VMRunner.runCodeInNodeVM' | grep -i playwright

• nodejs / server:

journalctl -u oneuptime -g 'Playwright script execution'

• generic web: Inspect OneUptime Synthetic Monitor Playwright scripts for suspicious code, particularly attempts to access or manipulate _browserType or launchServer properties.

1. 2026-03-26Disclosure

   disclosure

1. Reserviert2026-03-19
2. Veröffentlicht2026-03-26
3. EPSS aktualisiert2026-04-03

Die Lösung für diese Schwachstelle besteht darin, OneUptime auf Version 10.0.35 oder höher zu aktualisieren. Diese Version enthält Korrekturen, die die Playwright-Ausführungsumgebung verstärken und die Eigenschaften und Methoden, die zur Remote-Befehlsausführung verwendet werden können, effektiver blockieren. Es wird dringend empfohlen, so schnell wie möglich zu aktualisieren, um das Risiko einer Ausnutzung zu mindern. Überprüfen Sie außerdem die Benutzerberechtigungskonfigurationen, um sicherzustellen, dass nur die erforderlichen Benutzer Zugriff auf die synthetische Überwachungsfunktionalität haben.