OneUpTime में Probe में अनसैंडबॉक्स्ड कोड एग्जीक्यूशन किसी भी प्रोजेक्ट सदस्य को RCE प्राप्त करने की अनुमति देता है

यह भेद्यता हमलावरों के लिए विशेष रूप से खतरनाक है क्योंकि यह उन्हें OneUptime Probe कंटेनर के भीतर मनमाना कोड निष्पादित करने की अनुमति देती है। चूंकि Probe डेटाबेस/क्लस्टर क्रेडेंशियल्स को अपने पर्यावरण चर में रखता है, इसलिए यह भेद्यता सीधे डेटा तक अनधिकृत पहुंच और संभावित रूप से अन्य सिस्टम पर पार्श्व आंदोलन की ओर ले जाती है। एक हमलावर सिस्टम पर पूर्ण नियंत्रण प्राप्त कर सकता है, जिससे डेटा चोरी, सिस्टम समझौता और अन्य दुर्भावनापूर्ण गतिविधियां हो सकती हैं। यह भेद्यता Log4Shell जैसे शोषण पैटर्न के समान है, जहां एक साधारण अनुरोध एक गंभीर सुरक्षा उल्लंघन का कारण बन सकता है।

Organizations utilizing OneUptime for website monitoring, particularly those with project members who have permissions to create and modify Synthetic Monitors, are at significant risk. Shared hosting environments where multiple users share the same OneUptime instance are especially vulnerable, as a compromised monitor could impact all users on the shared system.

• linux / server:

journalctl -u oneuptime-probe | grep -i "prototype chain"

• nodejs:

ps aux | grep -i "oneuptime-probe" | grep -i "vm.Module"

• generic web:

curl -I http://<oneuptime_url>/synthetic/monitors/ | grep -i "Content-Security-Policy"

1. 2026-03-07Disclosure

   disclosure

2. 2026-03-07Patch

   patch

1. आरक्षित2026-03-06
2. प्रकाशित2026-03-07
3. संशोधित2026-03-10
4. EPSS अद्यतन2026-03-23

CVE-2026-30887 के लिए प्राथमिक शमन उपाय @oneuptime/common को संस्करण 10.0.18 में अपग्रेड करना है। यदि अपग्रेड करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके Synthetic Monitors के माध्यम से निष्पादित होने वाले कोड को सीमित करने का प्रयास कर सकते हैं। इसके अतिरिक्त, सुनिश्चित करें कि OneUptime Probe कंटेनर को न्यूनतम आवश्यक विशेषाधिकारों के साथ चलाया जाता है और डेटाबेस/क्लस्टर क्रेडेंशियल्स को सुरक्षित रूप से संग्रहीत किया जाता है। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, Synthetic Monitors के माध्यम से अविश्वसनीय कोड निष्पादित करने का प्रयास करके और यह सुनिश्चित करके कि कोई सिस्टम कमांड निष्पादित नहीं किया जा रहा है।