OneUptime:: escape de sandbox de node:vm en la prueba permite que cualquier miembro del proyecto logre RCE

El impacto de esta vulnerabilidad es severo. Un atacante que pueda registrarse en OneUptime puede inyectar código JavaScript malicioso en los monitores. Debido a que este código se ejecuta dentro del módulo vm de Node.js, sin las debidas protecciones, el atacante obtiene acceso completo al proceso subyacente. Dado que el proceso de monitoreo se ejecuta con host networking y tiene acceso a las credenciales del clúster, la explotación exitosa conduce a una completa toma de control del clúster. Esto incluye el acceso a datos sensibles, la capacidad de ejecutar comandos arbitrarios en los nodos del clúster y la posibilidad de realizar movimientos laterales a otros sistemas conectados. La falta de aislamiento del código del usuario dentro del entorno de ejecución lo convierte en un vector de ataque de alta prioridad.

Organizations using OneUptime with custom JavaScript monitors are at risk. This includes teams relying on OneUptime for application performance monitoring and those who have granted project members the ability to create and manage custom monitors. Shared hosting environments where multiple users share the same OneUptime instance are particularly vulnerable, as a compromised account could impact all users on the host.

• nodejs / server:

ps aux | grep 'node -e' | grep '@oneuptime/common'

• nodejs / server:

journalctl -u oneuptime -g 'VMRunner.t'

• generic web: Use curl to check for exposed monitor endpoints and attempt to inject simple JavaScript payloads to test for RCE.

curl 'http://<oneuptime_server>/monitor/execute?script=<malicious_javascript>'

1. 2026-02-24Disclosure

   disclosure

2. 2026-02-24Patch

   patch

1. Reservado2026-02-20
2. Publicada2026-02-24
3. EPSS actualizado2026-03-23

La mitigación principal es actualizar a la versión 10.0.0 de @oneuptime/common, que corrige la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda limitar el acceso a la funcionalidad de monitores personalizados solo a usuarios de confianza. Además, se debe revisar y auditar cuidadosamente cualquier código JavaScript personalizado que se esté utilizando para identificar posibles vulnerabilidades. Implementar un sistema de revisión de código y pruebas de seguridad para el código personalizado puede ayudar a prevenir futuras explotaciones. Aunque no es una solución completa, la configuración de un Web Application Firewall (WAF) con reglas para detectar y bloquear la inyección de código malicioso podría proporcionar una capa adicional de protección.